多要素認証 (MFA) は、コンソールログインとコンソールでの機密性の高い操作におけるユーザー名とパスワード認証モデルの補足です。Resource Access Management (RAM) ユーザーのセキュリティを確保するために、RAM ユーザーに MFA デバイスをバインドできます。MFA デバイスは、RAM ユーザーの ID を検証するのに役立ちます。
背景情報
RAM ユーザーは複数の MFA 方式をサポートしています。MFA 方式のシナリオと違いの詳細については、「多要素認証とは」をご参照ください。
MFA を実装するには、RAM ユーザーのセキュリティ設定で許可された MFA 方式を設定し、このトピックの操作を実行して MFA デバイスをバインドする必要があります。詳細については、「RAM ユーザーのセキュリティ設定の管理」をご参照ください。
2025 年 3 月 17 日から、すべての RAM ユーザーのコンソールログイン時に MFA が必須になります。これは、アカウントと資産の保護に役立ちます。詳細については、「Alibaba Cloud がデフォルトでアカウントの RAM ユーザー MFA を有効にすることについての通知」をご参照ください。
元の Universal 2nd Factor (U2F) セキュリティキーはパスキーにアップグレードされます。U2F セキュリティキーがバインドされている場合は、U2F セキュリティキーをパスキーにアップグレードすることをお勧めします。詳細については、「U2F セキュリティキーのパスキーへのアップグレード」をご参照ください。
仮想 MFA デバイスをバインドする
前提条件
モバイルデバイスに、仮想 MFA をサポートするアプリがダウンロードおよびインストールされていること。次の例では、Google Authenticator アプリをダウンロードしてインストールする方法について説明します。
モバイルデバイスで iOS が実行されている場合は、App Store から Google Authenticator アプリをダウンロードしてインストールします。
モバイルデバイスで Android が実行されている場合は、Google Play から Google Authenticator アプリをダウンロードしてインストールします。
説明モバイルデバイスで Android が実行されている場合は、Google Authenticator が QR コードを識別できるように、アプリストアからクイックレスポンス (QR) コードスキャナーもダウンロードしてインストールする必要があります。
手順
RAM ユーザーログインページで仮想 MFA デバイスをバインドする
RAM ユーザーを使用してログインする場合、次の操作を実行して仮想 MFA デバイスをバインドできます。
RAM ユーザーログイン ページに移動し、RAM ユーザーのユーザー名とパスワードを入力します。
[仮想 MFA デバイス] を選択します。
モバイルデバイスで、仮想 MFA デバイスを有効にします。
説明次の例は、iOS を実行しているモバイルデバイスの Google Authenticator アプリで仮想 MFA デバイスをバインドする方法を示しています。
Google Authenticator アプリを開きます。
[開始] をタップし、次のいずれかの方法を選択して仮想 MFA デバイスを有効にします。
Google Authenticator アプリで [QR コードをスキャン] をタップし、Alibaba Cloud 管理コンソールの仮想 MFA バインドページに表示されている QR コードをスキャンします。この方法をお勧めします。
[セットアップキーを入力] をタップし、Alibaba Cloud 管理コンソールの仮想 MFA バインドページからアカウントとキーを入力します。次に、[追加] をクリックします。
Alibaba Cloud 管理コンソールで、Google Authenticator アプリに表示されているワンタイムパスワードを入力します。次に、確認ボタンをクリックします。
RAM コンソールで仮想 MFA デバイスをバインドする
Alibaba Cloud アカウントまたは管理権限を持つ RAM ユーザーを使用して、RAM コンソールで RAM ユーザーに仮想 MFA デバイスをバインドできます。
Alibaba Cloud アカウントまたは管理権限を持つ RAM ユーザーで RAM コンソール にログインします。
左側のナビゲーションウィンドウで、 を選択します。
[ユーザーログイン名/表示名] 列で、管理する RAM ユーザーのユーザー名をクリックします。
[セキュリティ情報管理] セクションの [認証] タブで、[VMFA バインド リンク] の横にあるコピー アイコンをクリックし、ブラウザでリンクを開きます。
モバイルデバイスで、仮想 MFA デバイスを有効にします。
説明次の例は、iOS を実行しているモバイルデバイスの Google Authenticator アプリで仮想 MFA デバイスをバインドする方法を示しています。
Google Authenticator アプリを開きます。
[開始] をタップし、次のいずれかの方法を選択して仮想 MFA デバイスを有効にします。
Google Authenticator アプリで [QR コードをスキャン] をタップし、Alibaba Cloud 管理コンソールの仮想 MFA バインドページに表示されている QR コードをスキャンします。この方法をお勧めします。
[セットアップキーを入力] をタップし、Alibaba Cloud 管理コンソールの仮想 MFA バインドページからアカウントとキーを入力します。次に、[追加] をクリックします。
Alibaba Cloud 管理コンソールで、Google Authenticator アプリに表示されているワンタイムパスワードを入力します。次に、確認ボタンをクリックします。
[セキュリティ] ページで仮想 MFA デバイスをバインドする
RAM ユーザーが自分の MFA デバイスを管理することが許可されている場合、RAM ユーザーは次の操作を実行して仮想 MFA デバイスをバインドできます。 RAM ユーザーが自分の MFA デバイスを管理できるようにする方法の詳細については、「グローバルセキュリティ設定」をご参照ください。
RAM ユーザーログイン ページで、RAM ユーザーのユーザー名とパスワードを入力し、ログインに必要な操作を実行します。
右上隅のプロフィール画像にポインターを移動し、[セキュリティ情報] をクリックします。
[セキュリティ] ページの [MFA 情報] セクションで、[MFA デバイス] の横にある [VMFA のバインド] をクリックします。
モバイルデバイスで、仮想 MFA デバイスを有効にします。
説明次の例は、iOS を実行しているモバイルデバイスの Google Authenticator アプリで仮想 MFA デバイスをバインドする方法を示しています。
Google Authenticator アプリを開きます。
[開始] をタップし、次のいずれかの方法を選択して仮想 MFA デバイスを有効にします。
Google Authenticator アプリで [QR コードをスキャン] をタップし、Alibaba Cloud 管理コンソールの仮想 MFA バインドページに表示されている QR コードをスキャンします。この方法をお勧めします。
[セットアップキーを入力] をタップし、Alibaba Cloud 管理コンソールの仮想 MFA バインドページからアカウントとキーを入力します。次に、[追加] をクリックします。
Alibaba Cloud 管理コンソールで、Google Authenticator アプリに表示されているワンタイムパスワードを入力します。次に、確認ボタンをクリックします。
RAM ユーザーの [MFA 検証を 7 日間記憶することを許可する] パラメーターで [有効] を選択できます。その後、RAM ユーザーがログイン中に MFA を実行するときに、関連するオプションを選択して、現在ログインしているデバイスが RAM ユーザーの MFA ステータスを 7 日間記憶できるようにすることができます。ログイン後 7 日以内は、RAM ユーザーの MFA は不要です。ただし、RAM ユーザーが現在のデバイスからログアウトし、別の RAM ユーザーがログインしようとすると、MFA が必要になります。詳細については、「RAM ユーザーのセキュリティ設定を管理する」をご参照ください。
メールアドレスをバインドする
RAM コンソールでメールアドレスをバインドする
管理権限を持つ Alibaba Cloud アカウントまたは RAM ユーザーを使用して、RAM コンソールで RAM ユーザーにメールアドレスをバインドできます。
管理権限を持つ Alibaba Cloud アカウントまたは RAM ユーザーで RAM コンソール にログインします。
左側のナビゲーションウィンドウで、 を選択します。
[ユーザーログイン名/表示名] 列で、管理する RAM ユーザーのユーザー名をクリックします。
セキュリティ情報管理[認証] タブの 編集メールアドレス セクションで、 の横にある をクリックします。
[メールアドレスの編集] ダイアログボックスで、メールアドレスを入力し、[OK] をクリックします。
[アクティベーションリンクを送信] ダイアログボックスで、メールアドレスを確認し、[アクティベーションリンクを送信] をクリックします。
メールアドレスを使用してメールボックスにログオンし、確認メールの確認リンクをクリックします。
確認メールに記載されているリンクは 24 時間有効です。リンクの有効期限が切れた場合は、上記の手順を実行して別のリンクを送信してください。
セキュリティページでメールアドレスをバインドする
RAM ユーザーが自分の多要素認証 (MFA) デバイスを管理することを許可されている場合、RAM ユーザーは次の操作を実行してメールアドレスをバインドできます。 RAM ユーザーが MFA デバイスを管理できるようにする方法の詳細については、「グローバルセキュリティ設定」をご参照ください。
RAM User Logon ページで、RAM ユーザーのユーザー名とパスワードを入力し、ログインに必要な操作を実行します。
右上隅のプロファイル画像にポインターを移動し、[セキュリティ情報] をクリックします。
[セキュリティ] ページの [多要素認証情報] セクションで、[セキュリティメール] の横にある [バインド] をクリックします。
[メールアドレスのバインド] ページで、メールアドレスと確認コードを入力します。次に、[確認] をクリックします。
RAM ユーザーが RAM ユーザーの基本情報にあるメールアドレスを MFA に使用する場合、上記の手順を実行してメールアドレスをバインドする必要があります。
パスキーをバインドする
RAM ユーザーは、パスキーをコンピュータまたはモバイル デバイスにバインドして保存できます。RAM ユーザーは、セキュリティキーをバインドして使用することもできます。バインドが完了すると、RAM ユーザーはパスキーを使用して Alibaba Cloud 管理コンソールにログインしたり、多要素認証 (MFA) を実装したりできます。パスキーベースの認証システムは、まずデバイスとパスキー間のバインドを認証して、デバイスの有効性を検証します。次に、システムはデバイスに組み込まれている認証方式を使用して、デバイスの所有者を認証します。組み込みの認証方式は、指紋認識、顔認識、および PIN コードです。パスキーをバインドする前に、パスキーの制限とパスキーでサポートされているデバイスの種類を理解していることを確認してください。詳細については、「パスキーとは」をご参照ください。
RAM ユーザー ログイン ページでパスキーをバインドする
RAM ユーザーを使用してログインする場合、次の操作を実行してパスキーをバインドできます。
RAM ユーザー ログイン ページに移動し、RAM ユーザーのユーザー名とパスワードを入力します。
[パスキー] を選択します。
[パスキーのバインド] ページで、パスキーをバインドします。
セキュリティ ページでパスキーをバインドする
RAM ユーザー ログイン ページで、RAM ユーザーのユーザー名とパスワードを入力し、ログインに必要な操作を実行します。
右上隅のプロファイル画像にポインターを移動し、[セキュリティ情報] をクリックします。
セキュリティ ページの [パスキー] セクションで、[パスキーの作成] をクリックします。
[パスキーのバインド] ページで、パスキーをバインドします。
U2F セキュリティキーをパスキーにアップグレードする
U2F セキュリティキーが RAM ユーザーにバインドされている場合、RAM ユーザーは想定どおりに U2F セキュリティキーを使用できます。 RAM ユーザーは U2F セキュリティキーをパスキーにアップグレードすることをお勧めします。
RAM ユーザー ログイン ページで、RAM ユーザーのユーザー名とパスワードを入力し、ログインに必要な操作を実行します。
右上隅のプロファイル画像にポインターを移動し、[セキュリティ情報] をクリックします。
[セキュリティ] ページの [多要素認証 (MFA) 情報] セクションで、[MFA デバイス] の横にある [パスキーに更新] をクリックします。
[U2F をパスキーに更新] メッセージで、[OK] をクリックします。
[パスキーのバインド] ページで、セキュリティキーをバインドします。
詳細については、「セキュリティキーをバインドする」をご参照ください。
次の手順
MFA を有効化し、MFA デバイスを RAM ユーザーにバインドした後、RAM ユーザーは Alibaba Cloud 管理コンソールにログインするか、コンソールで機密性の高い操作を実行する際に、次の手順を実行する必要があります。
RAM ユーザーのユーザー名とパスワードを入力します。
仮想 MFA デバイスによって生成されるか、メールアドレスに送信される確認コードを入力します。または、パスキーを使用して認証を通過します。
RAM ユーザーにバインドされている MFA デバイスを変更する場合、別の MFA デバイスを RAM ユーザーにバインドする前に、既存の MFA デバイスのバインドを解除する必要があります。詳細については、「RAM ユーザーから MFA デバイスのバインドを解除する」をご参照ください。
RAM ユーザーが MFA デバイスのバインドを解除する前に MFA アプリ（Google Authenticator）がアンインストールされた場合、または U2F セキュリティキーが紛失した場合、RAM ユーザーは Alibaba Cloud 管理コンソールにログインできません。この場合、RAM ユーザーは、所属する Alibaba Cloud アカウントまたは管理権限を持つ RAM ユーザーに連絡して、RAM コンソールにログインし、MFA デバイスのバインドを解除してもらう必要があります。詳細については、「RAM ユーザーから MFA デバイスのバインドを解除する」をご参照ください。