多要素認証 (MFA) は、ユーザー名とパスワードに加えて、重要な第 2 のセキュリティレイヤーを提供します。MFA を有効にすると、RAM ユーザーはコンソールへのログイン時や機密性の高い操作実行時に毎回認証ステップを完了する必要があり、認証情報が漏えいした場合でも不正アクセスを防止できます。本トピックでは、RAM ユーザーが自身の MFA デバイス（パスキー、仮想 MFA デバイス、およびセキュリティメール）をバインドする方法について説明します。
2025 年 3 月 17 日以降、Alibaba Cloud では すべての RAM ユーザーに対してログイン時の MFA が必須 になります。詳細については、「お知らせ」をご参照ください。
MFA メソッドの比較
セキュリティ要件に基づいて、1 つ以上の MFA メソッドを選択してください。各メソッドの詳細については、「サポートされる MFA メソッド」をご参照ください。
|
MFA メソッド |
認証方法 |
セキュリティレベル |
依存条件 |
推奨事項 |
|
パスキー |
生体認証（指紋／顔認識）またはデバイス PIN |
最高 |
互換性のあるデバイス（コンピューター／スマートフォン）およびブラウザ、またはハードウェアセキュリティキー。詳細については、「パスキーとは」をご参照ください。 |
パスワードレスなログイン体験を実現しながら、最高レベルのセキュリティを提供します。内蔵された生体認証により、デバイスとユーザーの両方を認証します。 |
|
仮想 MFA デバイス |
時間ベースのワンタイムパスワード (TOTP) |
高 |
スマートフォン上の認証アプリ（例：Alibaba Cloud アプリまたは Google Authenticator） |
地域やキャリアに依存せず、あらゆる環境で動作する最も汎用的かつ安全なオプションです。主な MFA メソッドとして推奨されます。 |
|
セキュリティメール |
メール認証コード |
中 |
メールサービス |
バックアップ認証方法として使用します。主な MFA デバイスが利用できない場合の緊急ログインにも使用できます。 |
-
紛失または破損によるアカウントロックアウトを防ぐため、各 RAM ユーザーには 少なくとも 2 種類の異なるタイプ の MFA デバイスをバインドしてください。たとえば、パスキーとセキュリティメールなどです。
-
U2F セキュリティキーはパスキーにアップグレードされました。バインド済みの U2F セキュリティキーがある場合は、アップグレードすることを推奨します。「U2F セキュリティキーをパスキーにアップグレードする」をご参照ください。
前提条件
RAM ユーザーが MFA デバイスをバインドする前に、Alibaba Cloud アカウントの所有者または RAM 管理者は以下の操作を行う必要があります。
グローバル MFA ポリシーを設定する — MFA の有効化ルールを定義し、許可するデバイスタイプを指定します。詳細については、「多要素認証の設定」をご参照ください。
ユーザーが自身の MFA デバイスを管理できるようにする — グローバルセキュリティ設定でこのオプションを有効にすることで、RAM ユーザーが自身で MFA バインドを管理できるようになります。詳細については、「グローバルセキュリティ設定」をご参照ください。
ポリシーの設定後、各 RAM ユーザーは以下に示す手順に従って、個別に MFA デバイスをバインドする必要があります。
パスキーのバインド
パスキーは、ご利用のデバイスに内蔵された生体認証（指紋または顔認識）または PIN を使用して認証を行い、シームレスかつ高度に安全なパスワードレス体験を提供します。開始前に、ご利用のデバイスおよびブラウザがパスキーをサポートしていることを確認してください。互換性の詳細については、「パスキーとは」をご参照ください。
頻繁に使用するすべてのデバイスにパスキーを登録し、デバイス切り替え時にロックアウトされないようにセキュリティメールをバックアップとして設定してください。
ログインページ
MFA が必須となった後、RAM ユーザーがコンソールに初めてログインする際、システムから MFA デバイスのバインドが求められます。
-
RAM ユーザーログインページにアクセスし、ユーザー名とパスワードを入力します。
-
パスキー を選択します。
-
パスキーのバインド ページで、画面上の指示に従ってバインドを完了します。詳細については、「RAM ユーザーのパスキー管理」をご参照ください。
セキュリティ情報ページ
-
RAM ユーザーログインページにアクセスしてログインします。
-
右上隅のプロフィール画像にカーソルを合わせ、セキュリティ情報 をクリックします。
-
パスキー セクションで、パスキーを作成する をクリックします。
-
パスキーのバインド ページで、画面上の指示に従ってバインドを完了します。詳細については、「RAM ユーザーのパスキー管理」をご参照ください。
仮想 MFA デバイスのバインド
仮想 MFA デバイスは、認証アプリを通じて時間ベースのワンタイムパスワード (TOTP) を生成します。このメソッドはセキュリティレベルが高く、オフラインでも動作し、地域やキャリアに制限されません。開始前に、スマートフォンに認証アプリ（例：Alibaba Cloud アプリまたは Google Authenticator）をダウンロードしてインストールしてください。
ログインページ
MFA が必須となった後、RAM ユーザーがコンソールに初めてログインする際、システムから MFA デバイスのバインドが求められます。
-
RAM ユーザーログインページにアクセスし、ユーザー名とパスワードを入力します。
-
仮想 MFA デバイス を選択します。
-
スマートフォンで、次のいずれかの方法を使用して仮想 MFA デバイスを追加します。
Alibaba Cloud アプリ (Android)
-
Alibaba Cloud アプリを開き、ログインします。
-
右上隅の
アイコンをタップします。 -
右上隅の + をタップし、次の中から選択します。
-
QR コードをスキャン（推奨）：コンソールの「仮想 MFA デバイスのバインド」ページに表示されている QR コードをスキャンし、OK をタップします。
-
手動で追加：コンソールページに表示されているアカウント名とキーを入力し、OK をタップします。
-
Google Authenticator アプリ (iOS)
-
Google Authenticator アプリを開きます。
-
はじめに をタップし、次の中から選択します。
-
QR コードをスキャン（推奨）：コンソールの「仮想 MFA デバイスのバインド」ページに表示されている QR コードをスキャンします。
-
セットアップキーを入力：コンソールページに表示されているアカウント名とキーを入力し、追加 をタップします。
-
-
-
コンソールで、スマートフォンに表示されている時間ベースのワンタイムパスワード (TOTP) を入力し、OK をクリックします。
セキュリティ情報ページ
-
RAM ユーザーログインページにアクセスしてログインします。
-
右上隅のプロフィール画像にカーソルを合わせ、セキュリティ情報 をクリックします。
-
MFA 情報 セクションで、MFA デバイス の横にある MFAデバイス をクリックします。
-
スマートフォンで、次のいずれかの方法を使用して仮想 MFA デバイスを追加します。
Alibaba Cloud アプリ (Android)
-
Alibaba Cloud アプリを開き、ログインします。
-
右上隅の
アイコンをタップします。 -
右上隅の + をタップし、次の中から選択します。
-
QR コードをスキャン（推奨）：コンソールの「仮想 MFA デバイスのバインド」ページに表示されている QR コードをスキャンし、OK をタップします。
-
手動で追加：コンソールページに表示されているアカウント名とキーを入力し、OK をタップします。
-
Google Authenticator アプリ (iOS)
-
Google Authenticator アプリを開きます。
-
はじめに をタップし、次の中から選択します。
-
QR コードをスキャン（推奨）：コンソールの「仮想 MFA デバイスのバインド」ページに表示されている QR コードをスキャンします。
-
セットアップキーを入力：コンソールページに表示されているアカウント名とキーを入力し、追加 をタップします。
-
-
-
コンソールで、スマートフォンに表示されている時間ベースのワンタイムパスワード (TOTP) を入力し、OK をクリックします。
RAM ユーザーに対して MFA 認証状態を 7 日間記憶させる 設定も可能です。この設定を有効にすると、MFA 認証時に RAM ユーザーが このデバイスを記憶し、7 日間は認証を求めない を選択できるようになり、そのデバイスでは今後 7 日間 MFA を実行する必要がなくなります。この設定の構成方法については、「RAM ユーザーのセキュリティ設定管理」をご参照ください。
セキュリティメールのバインド
セキュリティメールは、主な MFA デバイスが利用できない場合のバックアップ認証チャネルとして機能します。国際サイトでは、緊急ログインにも使用できます。
セキュリティメールはセキュリティ情報ページからのみバインドでき、初回ログイン時には利用できません。
-
RAM ユーザーログインページにアクセスしてログインします。
-
右上隅のプロフィール画像にカーソルを合わせ、セキュリティ情報 をクリックします。
-
MFA 情報 セクションで、セキュリティメール の横にある 安全なメールボックス をクリックします。
-
セキュリティメールのバインド ページで、メールアドレスを入力し、認証コードをリクエストして入力後、OK をクリックします。
RAM ユーザーの基本情報に登録されているメールアドレスはリファレンス用であり、バインドされたセキュリティメールとは異なります。MFA 認証に使用できるのは、バインド済みのセキュリティメールのみです。
U2F セキュリティキーをパスキーにアップグレードする
U2F セキュリティキーはパスキーにアップグレードされました。バインド済みの U2F セキュリティキーがある場合、引き続き使用できますが、機能向上のためパスキーへのアップグレードを推奨します。
-
RAM ユーザーログインページにアクセスしてログインします。
-
右上隅のプロフィール画像にカーソルを合わせ、セキュリティ情報 をクリックします。
-
MFA 情報 セクションで、パスキーへのアップグレード の横にある MFAデバイス をクリックします。
-
U2F をパスキーにアップグレードする ダイアログボックスで、OK をクリックします。
-
パスキーのバインド ページで、セキュリティキーをパスキーとして登録します。詳細については、「RAM ユーザーのパスキー管理」をご参照ください。
次のステップ
MFA を有効化し、RAM ユーザーに MFA デバイスをバインドした後、ユーザーが Alibaba Cloud にログインする際やコンソールで機密性の高い操作を実行する際には、以下の 2 つのセキュリティ要素を提供する必要があります。
第 1 要素：ユーザー名とパスワードを入力します。
第二要素: 仮想 MFA デバイスまたはセキュリティメールアドレスから確認コードを入力するか、パスキーで認証します。
-
MFA デバイスの交換：バインド済みの MFA デバイスを交換するには、新しいデバイスをバインドする前に既存のデバイスのバインドを解除する必要があります。詳細については、「RAM ユーザーの MFA デバイスのバインド解除」をご参照ください。
-
紛失またはアクセス不能なデバイス：RAM ユーザーが認証アプリ（Alibaba Cloud アプリや Google Authenticator など）をアンインストールした場合や、バインド解除せずにセキュリティキーを紛失した場合、アカウントがロックアウトされます。この場合、Alibaba Cloud アカウントの所有者または RAM 管理者が RAM コンソールでデバイスのバインドを解除する必要があります。詳細については、「RAM ユーザーの MFA デバイスのバインド解除」をご参照ください。