Multi-Faktor-Authentifizierung für AD Connector aktivieren

So aktivieren Sie die Multifaktor-Authentifizierung für AD Connector

1. Wählen Sie im Navigationsbereich der AWS Directory Service -Konsole Verzeichnisse.

2. Wählen Sie den Verzeichnis-ID-Link für Ihr AD Connector-Verzeichnis aus.

3. Wählen Sie auf der Registerkarte Directory details (Verzeichnisdetails) die Registerkarte Networking & security (Netzwerk und Sicherheit) aus.

4. Wählen Sie im Abschnitt Multi-factor Authentifizierung die Option Aktionen und dann Aktivieren aus.

5. Geben Sie auf der Seite Multi-Faktor-Authentifizierung (MFA) aktivieren die folgenden Werte ein:

   Label anzeigen

   Geben Sie einen Labelnamen an.

   DNS-Name oder IP-Adressen des RADIUS-Servers

   Die IP-Adressen Ihrer RADIUS-Server-Endpunkte oder die IP-Adresse Ihres RADIUS-Server-Load Balancer. Sie können mehrere IP-Adressen eingeben, indem Sie sie durch ein Komma trennen (z. B. 192.0.0.0,192.0.0.12 oder2001:db8::1,2001:db8::2).

   Wichtig

   Verzeichnisse, die nach dem 7. Oktober 2025 erstellt wurden, erfordern, dass RADIUS-Server, die für die Multi-Faktor-Authentifizierung verwendet werden, über die Netzwerkkonfiguration Ihrer VPC routingfähig sind. Wenn Ihr RADIUS-Server nicht über die Routing-Tabellen, Sicherheitsgruppen und Netzwerk-ACLs Ihrer VPC zugänglich ist, schlägt die Multi-Faktor-Authentifizierung bei Multi-Faktor-Authentifizierungsprüfungen fehl. Um dieses Problem zu beheben, stellen Sie sicher, dass:

   • Netzwerk-Routing: Ihre VPC-Routing-Tabellen ermöglichen es, dass Datenverkehr Ihren RADIUS-Server von den Subnetzen aus erreicht, in denen Ihre AD Connector Connector-Verzeichnisinstanzen bereitgestellt werden.

   • Netzwerk-ACLs: Ihre Subnetz-Netzwerk-ACLs ermöglichen bidirektionalen Verkehr auf Ihrem RADIUS-Server. to/from

   Anmerkung

   RADIUS MFA gilt nur für die Authentifizierung des Zugriffs auf die AWS-Managementkonsole oder auf Amazon Enterprise-Anwendungen und -Services wie WorkSpaces Amazon Quick oder Amazon Chime. Es bietet keine MFA für Windows-Workloads, die auf EC2-Instances ausgeführt werden, oder für die Anmeldung bei einer EC2-Instance. Directory Service unterstützt keine RADIUS-Authentifizierung. Challenge/Response

   Benutzer müssen zum Zeitpunkt der Eingabe ihres Benutzernamens und Passworts ihren MFA-Code haben. Alternativ müssen Sie eine Lösung verwenden, die MFA out-of-band durchführt, z. B. eine SMS-Textverifizierung für den Benutzer. Bei Out-of-Band-MFA-Lösungen müssen Sie sicherstellen, dass Sie den RADIUS-Timeout-Wert für Ihre Lösung angemessen einstellen. Wenn Sie eine Out-of-Band-MFA-Lösung verwenden, wird der Benutzer auf der Anmeldeseite zur Eingabe eines MFA-Codes aufgefordert. In diesem Fall besteht die bewährte Methode darin, dass die Benutzer ihr Passwort sowohl in das Passwortfeld als auch in das MFA-Feld eingeben.

   Port

   Der Port, den Ihr RADIUS-Server für die Kommunikation verwendet. Ihr lokales Netzwerk muss eingehenden Datenverkehr über den standardmäßigen RADIUS-Serverport (UDP:1812) von den Servern zulassen. Directory Service

   Shared secret code (Gemeinsamer geheimer Code)

   Der gemeinsame geheime Code, der bei der Erstellung Ihrer RADIUS-Endpunkte angegeben wurde.

   Confirm shared secret code (Gemeinsamen geheimen Code bestätigen)

   Bestätigen Sie den gemeinsamen geheimen Code für Ihre RADIUS-Endpunkte.

   Protocol (Protokoll)

   Wählen Sie das Protokoll aus, das bei der Erstellung Ihrer RADIUS-Endpunkte angegeben wurde.

   Server-Timeout (in Sekunden)

   Die Zeit in Sekunden, die gewartet werden muss, bis der RADIUS-Server antwortet. Dies muss ein Wert zwischen 1 und 50 sein.

   Maximale Wiederholungen von RADIUS-Anfragen

   Die Anzahl der Kommunikationsversuche mit dem RADIUS-Server. Dies muss ein Wert zwischen 0 und 10 sein.

   Multi-factor Die Authentifizierung ist verfügbar, wenn sich der RADIUS-Status auf Aktiviert ändert.

6. Wählen Sie Enable (Aktivieren) aus.