AWS：強制的にMFAを設定させる方法

強制的にMFAを設定させるためのIAMポリシー

IAMユーザーに以下のポリシーを付与することで、強制的にMFAの設定をさせることができます。
もし、MFA認証をせずにログインした場合、MFA以外の全AWSリソースへアクセスできないためです。

{
  "Version": "2012-10-17",
  "Statement": [
      {
          "Effect": "Allow",
          "Action": [
              "iam:ChangePassword"
          ],
          "Resource": [
              "arn:aws:iam::*:user/${aws:username}"
          ]
      },
      {
          "Effect": "Allow",
          "Action": [
              "iam:GetAccountPasswordPolicy"
          ],
          "Resource": "*"
      },
      {
          "Sid": "AllowIndividualUserToManageTheirOwnMFA",
          "Effect": "Allow",
          "Action": [
              "iam:CreateVirtualMFADevice",
              "iam:DeleteVirtualMFADevice",
              "iam:DeactivateMFADevice",
              "iam:EnableMFADevice",
              "iam:ResyncMFADevice",
              "iam:ListMFADevices"
          ],
          "Resource": [
              "arn:aws:iam::*:mfa/${aws:username}",
              "arn:aws:iam::*:user/${aws:username}"
          ]
      },
      {
          "Sid": "BlockMostAccessUnlessSignedInWithMFA",
          "Effect": "Deny",
          "NotAction": [
              "iam:CreateVirtualMFADevice",
              "iam:DeleteVirtualMFADevice",
              "iam:DeactivateMFADevice",
              "iam:EnableMFADevice",
              "iam:ResyncMFADevice",
              "iam:ListMFADevices",
              "iam:ChangePassword",
              "iam:GetAccountPasswordPolicy",
              "iam:ListVirtualMFADevices"
          ],
          "Resource": "*",
          "Condition": {
              "BoolIfExists": {
                  "aws:MultiFactorAuthPresent": "false"
              }
          }
      }
  ]
}

注意点

• MFAの設定は添付画像の「セキュリティ認証情報」をクリックしてください。
  

• MFA設定時のデバイス名は、IAMユーザーの名前と同じ名前にしてください。