AWSでMFAを使っているのに機種交換したらサインインできなくなった話

# 対象環境＆読者

**対象環境**

* AWS
* Google Authenticatorなど、スマホの認証アプリ

**対象読者**

* MFAデバイスにGoogle Authenticatorなどのスマホ認証アプリを使用しているのに、スマホ故障や紛失、機種交換してMFAできないかた

# MFAログインできない！
ある日の出来事。久しぶりにルートユーザーでAWSのマネジメントコンソールへのログインを試みる。MFAコードを要求されたので、MFAデバイスのGoogle Authenticatorを起動。ところが、機種交換したためにGoogle Authenticatorが初期化されて使えないことに気付く。

<font color="blue">**やべー！　機種交換したら、Google Authenticatorに以前の設定が残ってないの？**</font>

調べてみると、どうやらそういうものらしい。機種交換前に移行作業が必要とのこと。

* [機種変更をするので Google Authenticator のアカウントを移行したい](https://support.bitbank.cc/hc/ja/articles/900003847266-%E6%A9%9F%E7%A8%AE%E5%A4%89%E6%9B%B4%E3%82%92%E3%81%99%E3%82%8B%E3%81%AE%E3%81%A7-Google-Authenticator-%E3%81%AE%E3%82%A2%E3%82%AB%E3%82%A6%E3%83%B3%E3%83%88%E3%82%92%E7%A7%BB%E8%A1%8C%E3%81%97%E3%81%9F%E3%81%84)

だけれど、リカバリー方法はあるだろう。ネットを検索しつつ、リカバリーを試みた。

# リカバリーを試みる
1. こんどはMFAコードの入力画面で「MFAのトラブルシューティング」をクリックする。
![awsconsole04-1.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/266049/9f8e2ff7-e9b8-d9ee-ad91-3b7d107cbac0.png)

2. トラブルシューティングページが表示されるので「別の要素を使用したサインイン」をクリックする。
![awsconsole05-1.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/266049/d5d5465f-d9d0-0341-6815-b48f0d9feaf3.png)

1. ステップ1で「確認Eメールの送信」をクリックする。
![awsconsole06-1.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/266049/78b5352c-9385-b680-8c71-d9d1b8b0ca32.png)
![awsconsole07.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/266049/373edf45-eeae-6dfc-0dc0-c327e3c04d65.png)

1. 登録したメールアドレスに「AWS Email Verification」というタイトルのメールが送られてくるので、メール内の「Verify your email address」をクリックする。
1. メールのリンクをクリックするとステップ2が表示されるので「すぐに連絡を受ける」をクリックする。
![awsconsole08-1.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/266049/0369f807-fc42-8f80-7e1e-6ff58a7ee7c3.png)

1. あとは電話が来るのを待つだけ。だけれど来ないし、画面には「完了できませんでした」の文字。ガーン！
![awsconsole09.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/266049/556cc737-9777-9c6a-6a93-513ff91bad98.png)

1. このようになった原因は、国番号付きで電話をかけるときは先頭のゼロを省略するので、登録が間違っていたらしい。
**電話番号：090-XXXX-XXXX
国番号付き：+81-90-XXXX-XXXX
登録すべき部分：90-XXXX-XXXX**

<font color="blue">**どうすればいいんだ、俺、？**</font>

# AWSへ問い合わせ

1. サポートへの問い合わせを決断。IAMユーザーはMFAを使っていなかったので、IAMユーザーでログインして問い合わせを起票。あとは待つだけ。
![awsconsole12.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/266049/f634ff6e-9b13-91e9-65d5-10c412a8677a.png)

1. 心待ちにしていると、申し訳なさそうな回答と共に専用の窓口を案内される。内部でスイッチできないのね...。コチラはサインイン不要です。
Lost or unusable Multi-Factor Authentication (MFA) device
https://aws.amazon.com/forms/aws-mfa-support

1. 上記リンクをクリックすると、以下のページが表示される。**「I'm still having...」**のほうをクリックする。最初は**「Sign-in to AWS」**をクリックして、普通のコンソールが表示されて意味不明で悩んだ。間違えないように。
![awsconsole10.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/266049/a381e443-7191-10a3-f88b-3f299bef4df4.png)

1. 「I'm still having...」をクリックすると、下に入力エリアが出現。これらを入力し、末尾の「Submit」をクリックして完了。
![awsconsole11.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/266049/4fff9180-7e38-6191-55a9-79017dcc6803.png)

1. 後ほどAWSから電話がかかってきて、個人認証を済ませるとMFAを無効にしてくれるとのこと。解除まで時間がかかるかもしれないと言われたが、すぐに解除完了のメールが来た。

<font color="blue">**これで問題は解決。パスワードログイン可能になっているので、MFAを再設定して完了だ。**</font>

**MFAデバイス比較**
https://aws.amazon.com/jp/iam/details/mfa/
**MFAデバイスの設定ページ**
https://console.aws.amazon.com/iam/home?#security_credential

私みたいなライトユーザーに丁寧なサポートをありがとうございます。月に数万円以上使っているならまだしも、年間でもそれほど使っていないのに、こんな対応していたら大変そう。

# 教訓

* 機種変更するときは、MFAデバイスの情報をエクスポートするべし。もしくはMFAを一時的に無効にする
* MFAデバイス紛失に備えて、電話での認証が可能か確認しておこう
* もしくは、エクスポートしたQRコードのスクショを別の場所に保存していてもいいかもしれない（未検証）
* それでもダメなときは、上記の問い合わせフォームを使おう