2FA en AWS: cómo configurar una app de autenticación para usuarios raíz e IAM

Una cuenta de AWS tiene dos tipos de inicio de sesión en la consola: el usuario raíz, que es la dirección de correo y la contraseña con las que se abrió la cuenta (AWS), y los usuarios de IAM, accesos independientes con sus propios ajustes de MFA (AWS). La autenticación multifactor (MFA) es obligatoria para el usuario raíz en todos los tipos de cuenta: tienes 35 días desde tu primer intento de inicio de sesión para registrar un dispositivo (AWS). Para los usuarios de IAM, lo decide el administrador de la cuenta.

AWS acepta llaves de acceso y llaves de seguridad, que son lo que recomienda, además de apps de autenticación (dispositivos MFA virtuales, en la terminología de AWS) y tokens físicos. La MFA por SMS ya no se puede activar (AWS). Esta guía usa Authenticator App - Novaz en el iPhone, pero cualquier app de autenticación funciona igual.

Cómo comprobamos esta guía: los pasos de AWS proceden de su propia documentación y de artículos de su Knowledge Center, enlazados más abajo, que consultamos el 20 de octubre de 2026. No los hemos probado en una cuenta de AWS. Las páginas de AWS no usan todas las mismas etiquetas, así que lo que veas puede ser ligeramente distinto. Los pasos de Novaz están comprobados en la app, versión 1.0.5.

Activar la MFA para el usuario raíz

Primero, comprueba que todavía tienes acceso a la dirección de correo y al teléfono de contacto principal de la cuenta. Son la forma de volver a entrar del usuario raíz si pierdes la app de autenticación (AWS). Después, sigue los pasos de AWS (AWS):

1. Inicia sesión en la consola como Root user (usuario raíz) con la dirección de correo y la contraseña de la cuenta.
2. A la derecha de la barra de navegación, elige el nombre de tu cuenta y luego Security credentials (credenciales de seguridad).
3. En la sección Multi-Factor Authentication (MFA) (autenticación multifactor), elige Assign MFA device (asignar dispositivo MFA).
4. Escribe un Device name (nombre del dispositivo), elige Authenticator app (app de autenticación) y luego Next (siguiente).
5. Elige Show QR code (mostrar código QR). En Novaz, toca + y luego Escanear código QR. Si el código está en el mismo iPhone, haz una captura de pantalla y usa Elegir una foto. Consulta cómo escanear un código QR en el mismo iPhone.
6. Si no puedes escanearlo, elige Show secret key (mostrar clave secreta). En Novaz, toca +, luego Introducir clave manualmente, y escríbela como Clave de configuración. Los códigos de AWS tienen 6 dígitos y cambian cada 30 segundos, así que una clave escrita a mano funciona. Consulta ¿Qué es una clave de configuración de 2FA?
7. Escribe el código actual de Novaz en MFA code 1 (código MFA 1). Espera al siguiente código, escríbelo en MFA code 2 (código MFA 2) y elige Add MFA (añadir MFA).

Haz el paso 7 enseguida; si no, el dispositivo se guarda desincronizado y necesita una resincronización (ver más abajo). A partir de entonces, AWS pide un código en cada inicio de sesión en la consola, después de la contraseña. Las páginas de AWS no mencionan dispositivos de confianza (AWS).

Activar la MFA para un usuario de IAM

Para tu propio usuario de IAM, si tu administrador lo permite, elige tu nombre de usuario arriba a la derecha, luego Security credentials y luego Assign MFA device, y sigue el mismo asistente. Un tutorial de AWS muestra en su lugar un solo cuadro para el código y Register MFA (registrar MFA) (AWS).

Un administrador puede hacerlo en la consola de IAM, en Users (usuarios), el nombre del usuario y la pestaña Security Credentials, pero necesita tener en la mano el teléfono de esa persona (AWS).

Sin códigos de respaldo: registra un segundo dispositivo

Las páginas de AWS no mencionan códigos de respaldo. En su lugar, cada usuario raíz y cada usuario de IAM puede registrar hasta ocho dispositivos MFA de cualquier tipo, y cualquiera de ellos sirve para iniciar sesión (AWS). AWS recomienda la copia de seguridad en la nube de la app de autenticación (AWS). En Novaz es la Copia en iCloud (PRO), en Ajustes › Copia de seguridad, donde también puedes exportar un archivo de copia de seguridad. Aun así, merece la pena añadir un segundo dispositivo, como una llave de acceso, una llave de seguridad o una app de autenticación en otro dispositivo.

La página de AWS sobre el usuario raíz también sugiere guardar una copia segura del código QR o de la clave secreta, que permite configurar un sustituto más adelante (AWS). Si la guardas, protégela como la contraseña del usuario raíz.

Si AWS rechaza tu código

AWS dice que una app de autenticación puede desincronizarse. Después de varios inicios de sesión fallidos, te pide que la resincronices escribiendo dos códigos seguidos en MFA code 1 y MFA code 2. También puedes seleccionar el dispositivo en Security credentials y elegir Resync (resincronizar) (AWS).

En un iPhone, la causa habitual es el reloj: Ajustes › General › Fecha y hora › Ajuste automático. Novaz te avisa cuando va desfasado 15 segundos o más. Más información en ¿El código de autenticación no funciona?

Cambiar de teléfono o quitar un dispositivo

Primero añade el teléfono nuevo como dispositivo MFA adicional. Después, en Security credentials, selecciona el antiguo y elige Remove (quitar) dos veces. AWS envía al usuario raíz un correo de confirmación (AWS). Los usuarios de IAM necesitan un dispositivo existente para añadir o quitar otro (AWS). El usuario raíz debe conservar siempre uno.

Si restauras Novaz en el iPhone nuevo desde la Copia en iCloud o desde un archivo de copia de seguridad, sus códigos siguen funcionando y no tienes que añadir el teléfono nuevo como dispositivo. Consulta Cómo transferir tu app de autenticación a un iPhone nuevo.

Si pierdes tu app de autenticación

Si tienes otro dispositivo registrado, elige Try another MFA method (probar otro método MFA) al iniciar sesión. Si no (AWS):

• Usuario raíz: elige Troubleshoot MFA (solucionar problemas de MFA) y luego Sign in using alternative factors (iniciar sesión con factores alternativos). Verifica el correo con Send verification email (enviar correo de verificación) y luego el teléfono con Call me now (llamarme ahora): escribe en el teclado del teléfono el número de 6 dígitos que aparece en pantalla. Una vez dentro, elimina el dispositivo antiguo en Security credentials y añade uno nuevo. Si te robaron el teléfono, cambia también la contraseña del usuario raíz.
• Sin acceso a ese correo o a ese teléfono: usa el formulario Lost or unusable MFA device (dispositivo MFA perdido o inutilizable) del soporte de AWS. Si lo único que está desactualizado es el número de teléfono, un usuario de IAM con acceso de administrador puede actualizarlo (AWS). AWS no dice cuánto tarda la recuperación.
• Usuario de IAM: pide a tu administrador que quite el dispositivo. AWS lo deja claro: «Support can't assist IAM users with MFA device issues» (el soporte no puede ayudar a los usuarios de IAM con problemas de dispositivos MFA) (AWS).

Más información en ¿Has perdido el teléfono con tu app de autenticación?

Iniciar sesión a través del portal de acceso de AWS

IAM Identity Center tiene su propia MFA: en el portal de acceso de AWS, elige MFA devices (dispositivos MFA) y luego Register device (registrar dispositivo), dentro de las reglas que fije tu administrador (AWS).

Ayuda oficial de AWS

• Multi-factor authentication for AWS account root user (autenticación multifactor para el usuario raíz de la cuenta de AWS)
• Sign in to the AWS Management Console as the root user (iniciar sesión en la consola como usuario raíz)
• Enable a virtual MFA device for the root user (console) (activar un dispositivo MFA virtual para el usuario raíz)
• Assign a virtual MFA device in the AWS Management Console (asignar un dispositivo MFA virtual en la consola)
• AWS Multi-factor authentication in IAM (autenticación multifactor en IAM)
• IAM tutorial: Permit users to manage their credentials and MFA settings (permitir que los usuarios gestionen sus credenciales y ajustes de MFA)
• MFA enabled sign-in (inicio de sesión con MFA)
• Resynchronize virtual and hardware MFA devices (resincronizar dispositivos MFA virtuales y físicos)
• Recover an MFA protected identity in IAM (recuperar una identidad protegida con MFA)
• Deactivate an MFA device (desactivar un dispositivo MFA)
• Troubleshooting AWS account sign-in issues (solucionar problemas de inicio de sesión)
• Update your telephone number to reset an MFA device (actualizar tu número de teléfono para restablecer un dispositivo MFA; AWS Knowledge Center, escrito por AWS)
• Registering your device for MFA (registrar tu dispositivo para la MFA)