ごきげんよう、@An_nAです！
この記事はハンズラボ Advent Calendar 2021 6日目の記事です。

突然ですが、AWSをご利用のみなさん、MFA(多要素認証)の設定は行なっていますか？
アカウントの乗っ取りは怖いですからね、不正ログインを防止するためにも未設定の方はぜひこれを機に設定してくださいね。
AWSのユーザーガイド、よろしければどうぞ。
AWS での多要素認証 (MFA) の使用

自分でMFAの管理ができるようIAMユーザーに権限を付与しよう

さてさて、ここからが本題ですよ。

あるうららかな日、AWSアカウント管理者のところにシステム利用者(そうですね、仮にAさんとしましょう)がやってきて言いました。
「AWSマネジメントコンソールにサインインしてやりたい作業があるの」
「今後、Bさんにも同じ作業をお願いするかもしれないわ」

そこで、AWSアカウント管理者はシステム利用者用のIAMグループを作成しました。
このIAMグループにはAさんがやりたい作業に必要な権限をばっちりつけています。
次に、システム利用者用IAMグループに所属するAさん用のIAMユーザーを作成しました。
そして、Aさんにユーザー名、パスワードといったサインイン情報を伝えました。
MFAを設定してくださいね、とお願いを添えて。
ふぅ、一仕事終えましたね。コーヒーでも飲みましょう。

ところがほどなくして、Aさんからこんな連絡が入ります。
「マネジメントコンソールへはサインインできたわ」
「やりたい作業もできてるの」
「だけど、MFAの設定ができないのよね〜」

なぜでしょう？

タイトルからお察しですね。
そう、システム利用者用IAMグループに、Aさんがやりたい作業に必要な権限はばっちり付与されていたものの、MFA管理に必要な権限がすぽっと抜けていたんです。
というわけで、前置きが長くなりましたがMFA管理に必要な権限たちをご紹介します！

MFA管理を許可するのに必要な権限たち

以下の権限をAllowしてください。
先程の小芝居の例で言うと、システム利用者用IAMグループにこれらの権限がついていればOKです！

Action	どんな権限？	リソース
iam:ListVirtualMFADevices	仮想MFAデバイスを割り当て状況別に一覧表示	arn:aws:iam::<アカウントID>:mfa/
iam:CreateVirtualMFADevice	新しい仮想MFAデバイスの作成	arn:aws:iam::<アカウントID>:mfa/${aws:username}
iam:DeleteVirtualMFADevice	仮想MFAデバイスの削除	同上
iam:EnableMFADevice	MFAデバイスを有効にし、指定されたIAMユーザーと関連付ける	arn:aws:iam::<アカウントID>:user/${aws:username}
iam:DeactivateMFADevice	指定されたMFAデバイスを無効化＆最初に有効化されたIAMユーザーとの関連付けを解除	同上
iam:ResyncMFADevice	指定したMFAデバイスとそのIAMエンティティ（ユーザーまたはロール）を同期	同上
iam:ListMFADevices	IAMユーザーのMFAデバイスを一覧表示	同上

IAMコンソールのユーザーページが表示できないんだけど...

ここまでにご紹介した権限がシステム利用者用IAMグループに付与済みであれば、このグループに所属しているAさんは自ユーザーのMFAの管理ができるようになっています。
が、しかし。
この権限では、AさんはIAMコンソールからユーザーページを表示することはできないんです。
では、AさんはどこからMFAの設定をすれば良いの？

答えは「セキュリティ認証情報」です。
マネジメントコンソールにサインイン後、ユーザー情報が表示されている右上あたりをクリックすると選べますよ。

「セキュリティ認証情報」をクリックすると、以下の画面に遷移します。
「多要素認証(MFA)」にある「MFAデバイスの割り当て」から設定をしてもらいましょう。

もしAさんに「どうしてもIAMコンソールのユーザーページも見たいわ」と言われたら以下の権限もAllowしてあげてくださいね。

Action	どんな権限？	リソース
iam:ListUsers	指定されたパス・プレフィックスを持つIAMユーザーを一覧表示	arn:aws:iam::<アカウントID>:user/

(おまけ)Serverless Frameworkで書いてみよう

ここまでにご紹介した権限を持つIAMグループの定義をServerless Frameworkで書くとこんな感じです。グループ名やポリシー名を適切なものに変更して、あとは許可する作業用の権限を足せばOKです。IAMコンソールのユーザーページ表示の権限は付いていないので、必要に応じて追加してくださいね。

あ！ちなみにこちらはServerless Framework 2.50.0以降の記法です。
お使いのバージョンが2.50.0より前な場合は、こちらのブログが参考になるかもしれません。良かったらご覧ください。
[Tips]Serverless Frameworkでプラグイン「serverless-pseudo-parameters」にさよならバイバイしたお話

!Joinしている理由が気になった方にはこちらがおすすめですよ！
[Tips]Serverless Frameworkで${aws:username}と書きたいときのお話

serverless.yml

ExampleGroup:
    Type: AWS::IAM::Group
    Properties:
        GroupName: ${self:service}-ExampleGroup
        Path: /
        Policies:
        - PolicyName: ${self:service}-ExamplePolicy
          PolicyDocument:
            Version: "2012-10-17"
            Statement:
              - Effect: Allow
                Action: iam:ListVirtualMFADevices
                Resource: arn:aws:iam::#{AWS::AccountId}:mfa/
              - Effect: Allow
                Action:
                    - iam:DeleteVirtualMFADevice
                    - iam:CreateVirtualMFADevice
                Resource:
                    - !Join
                    - ''
                    - - 'arn:aws:iam::#{AWS::AccountId}:mfa/'
                        - '$'
                        - '{aws:username}'
              - Effect: Allow
                Action:
                    - iam:EnableMFADevice
                    - iam:DeactivateMFADevice
                    - iam:ResyncMFADevice
                    - iam:ListMFADevices
                Resource:
                    - !Join
                    - ''
                    - - 'arn:aws:iam::#{AWS::AccountId}:user/'
                        - '$'
                        - '{aws:username}'

参考資料

AWSのユーザーガイドでは、「MFA認証されていない場合に特定の作業を禁止する」ポリシーの例も紹介されています。

それでは、よいMFAライフを！