启用多因素身份验证 AWS 微软 AD 托管

您可以为 AWS 托管 Microsoft AD 目录启用多重身份验证 (MFA)，以便在用户指定其 AD 凭证访问支持的亚马逊企业应用程序时提高安全性。启用 MFA 后，您的用户如常输入其用户名和密码 (第一安全要素)，它们还必须输入通过您的虚拟或硬件 MFA 解决方案获取的身份验证代码 (第二安全要素)。除非用户提供有效的用户凭证和 MFA 代码，否则这些安全要素将通过阻止对您的 Amazon 企业应用程序的访问来提高安全性。

要启用 MFA，您必须具有属于远程身份验证拨入用户服务（RADIUS）服务器的 MFA 解决方案，或已在本地基础设施中实现的 RADIUS 服务器必须具有 MFA 插件。您的 MFA 解决方案应实施一次性密码 (OTP)，用户可从硬件设备或在设备（如手机）上运行的软件来获取此密码。

RADIUS 是一种行业标准 client/server 协议，它提供身份验证、授权和记账管理，使用户能够连接到网络服务。 AWS 托管 Microsoft AD 包括一个 RADIUS 客户端，该客户端可连接到你实施了 MFA 解决方案的 RADIUS 服务器。您的 RADIUS 服务器将验证用户名和 OTP 代码。如果你的 RADIUS 服务器成功验证了用户，Microsoft AD 就会 AWS 根据 Active Directory 对用户进行身份验证。Active Directory 身份验证成功后，用户之后可访问 AWS 应用程序。 AWS 托管的 Microsoft AD RADIUS 客户端与你的 RADIUS 服务器之间的通信需要你配置允许通过端口 1812 进行通信 AWS 的安全组。

您可以通过执行以下步骤为 AWS 托管 Microsoft AD 目录启用多因素身份验证。有关如何配置 RADIUS 服务器以使用 Directory Service 和 MFA 的更多信息，请参阅Multi-factor 身份验证先决条件。

注意事项

以下是对 AWS Managed Microsoft AD 进行多重身份验证时的一些注意事项：

启用多因素身份验证 AWS 微软 AD 托管

以下过程介绍如何为 AWS Managed Microsoft AD 启用多重身份验证。