「IAM のベストプラクティス」では特権ユーザーに対して、MFA を有効化するという記述があります。
AWSアカウント(ルート)の代わりになるIAM特権ユーザの作成手順（その１）と
AWSアカウント(ルート)の代わりになるIAM特権ユーザの作成手順（その２）で作成したIAM特権ユーザの多要素認証(MFA)を有効にします。
１．まず、IAM特権ユーザのアカウントでサインインします。
２．IAMサービスをクリックします。
３．IAMサービス画面で、左側の「ユーザ」メニューを選び、右側のユーザ一覧からIAM特権ユーザをクリックします。
４．ユーザ情報画面の「サインイン認証情報」までスクロールし、「MFAデバイスの管理」ボタンをクリックします。
５．今回Google Authenticatorを使用するので、「仮想MFAデバイス」を選び、「次のステップ」ボタンをクリックします。
６．「進む前にMFAアプリをインストールしてください」という旨のメッセージが表示され、まだインストールしていない場合は、ここでスマートフォンにGoogle Authenticatorをインストールしましょう。
７．次に進むと、ORコードが表示されます。スマートフォンでGoogle Authenticatorを起動して、ORコードをスキャンします。Google Authenticatorで表示された６桁の数字を「認証コード１」に入力し、３０秒後数字が変わったら「認証コード２」に入力します。２つ入力すれば「仮想MFAのアクティブ化」ボタンをクリックし確定します。
８．iPhoneの画面は下記のようになります。数字のしたに、ORコードに含まれている「IAMユーザ名@アカウント別名」が表示されているので、識別のために使えます。
９．サインアウトしてもう一回IAMユーザでサインインすると、エラーが発生します。MFAはもう有効になっています。
１０．「MFAトークンを持っています」をチェックし、「MFAコード」にスマートフォンのGoogle Authenticatorで表示されている６桁の数字を入力します。３０秒で無効になるので、早めにサインインボタンをクリックしてください。
１１．成功した場合は、管理画面が表示されます。
これで、多要素認証の有効化したIAM特権ユーザで普段のAWSの管理業務を行うことが可能となりました。
「IAM のベストプラクティス」ではAWSアカウントのMFAも有効にすると書いています。しかし、MFAデバイスの紛失及び故障時AWSにMFAの無効化を依頼する必要があるので、今回省略しました。IAMユーザのMFAの無効化はAWSアカウントでサインインした後、ステップ４と同じ操作方法で自らすぐにできるので、手間がかかりません。