仮想MFAデバイスの設定時に発生した「エンティティは既に存在しています」の調査

背景

社内の方からAWSを利用したいのでアカウントの作成を依頼されました。
アカウントの作成後、セキュリティ強化のため、設定登録を必須としているMFAデバイスの登録を依頼。
ところが、以下のようなエラーが発生してしまいました。

参考

AWS MFA 設定で「エンティティは既に存在しています」エラーの解決方法

環境

せっかくなので、先日構築したdocker desktop for Windowsに移設(コピー)したaws-cliのコンテナで作業してみることにします。

コンテナの起動

まずはdocker desktop for Windowsからコンテナを起動します。

しばらくすると起動しますので、「cli」をクリックします。

別ウィンドウでcliが起動します。
早速調査を開始しします。

詳細は割愛しますが、最初にaws configureを設定し、awsとの疎通を確認しておきます。

# aws configure
AWS Access Key ID [None]: xxxxxxxxxx
AWS Secret Access Key [None]: xxxxxxxxxx
Default region name [None]: us-west-1
Default output format [None]: json

# aws sts get-caller-identity
{
    "UserId": "xxxxxxxxxx",
    "Account": "xxxxxxxxxx",
    "Arn": "arn:aws:iam::xxxxxxxxxx:user/xxxxxxxxxx"
}

list-virtual-mfa-devices で問題の SerialNumber を特定

こちらのコマンドを実行することで、仮想MFAデバイスのリストを取得できるようです。
実行してみたところ、エラーが発生しているIAMユーザのデバイスが登録されていることがわかりました。

# aws iam list-virtual-mfa-devices
{
    "VirtualMFADevices": [
        {
            "SerialNumber": "arn:aws:iam::xxxxxxxxxx:mfa/xxxxxxxxxx"
        },
        {
            "SerialNumber": "arn:aws:iam::xxxxxxxxxx:mfa/root-account-mfa-device",
            "User": {
                "UserName": "xxxxxxxxxx",
                "UserId": "xxxxxxxxxx",
                "Arn": "arn:aws:iam::xxxxxxxxxx:root",
                "CreateDate": "2016-06-24T01:42:38+00:00",
                "PasswordLastUsed": "2020-02-19T07:06:41+00:00"
            },
            "EnableDate": "2019-07-24T07:15:06+00:00"
        },
：
：
：

delete-virtual-mfa-device で該当のデバイス情報を削除

listコマンドと同様にdeleteコマンドも用意されているようなので、該当のIAMユーザのデバイス情報を削除してみます。

# aws iam delete-virtual-mfa-device --serial-number "arn:aws:iam::xxxxxxxxxx:mfa/xxxxxxxxxx"

実行後は何もプロンプトにメッセージは表示されませんでしたので、再度LISTを取得し、正しく削除されていることを確認できました。

IAMユーザの利用者に連絡し、再度MFAデバイスの登録を実施してもらったところ、エラーは解消されており、無事にMFAデバイスの登録を行うことができました。

おわりに

実は当初、この方法を見つけることができず、別のIAMユーザを作成し、利用者の方に払い出し、AWS環境を利用してもらっていました。
しかし、根本的な解決にはなっていませんでしたので、今回調査と対処を実施、無事に解決に至りました。
エラーメッセージからして二重登録なのだろうとは思いましたが、調査方法や対処方法がすぐに出てこず、時間がかかってしまったのが反省点です。