2FA AWS : comment configurer une application d’authentification pour l’utilisateur racine et les utilisateurs IAM

Un compte AWS propose deux types de connexion à la console : l’utilisateur racine (root user), c’est-à-dire l’adresse e-mail et le mot de passe qui ont servi à ouvrir le compte (AWS), et les utilisateurs IAM, des identifiants distincts avec leurs propres réglages MFA (AWS). L’authentification multifacteur (MFA) est obligatoire pour l’utilisateur racine sur tous les types de comptes : vous disposez de 35 jours à compter de votre première tentative de connexion pour enregistrer un appareil (AWS). Pour les utilisateurs IAM, c’est l’administrateur du compte qui décide.

AWS accepte les clés d’accès et les clés de sécurité, qu’il recommande, ainsi que les applications d’authentification (des « virtual MFA devices », ou appareils MFA virtuels, dans le vocabulaire d’AWS) et les jetons matériels. La MFA par SMS ne peut plus être activée (AWS). Ce guide utilise Authenticator App - Novaz sur iPhone, mais toute application d’authentification fonctionne de la même façon.

Comment nous avons vérifié ce guide : les étapes AWS proviennent de la documentation d’AWS et des articles de son Knowledge Center, indiqués ci-dessous, que nous avons consultés le 20 octobre 2026. Nous ne les avons pas testées sur un compte AWS. Les pages d’AWS n’utilisent pas toutes les mêmes libellés : ce que vous voyez peut donc légèrement différer. Les étapes Novaz ont été vérifiées dans l’app, version 1.0.5.

Activer la MFA pour l’utilisateur racine

Vérifiez d’abord que vous avez toujours accès à l’adresse e-mail du compte et au téléphone du contact principal. C’est par eux que l’utilisateur racine récupère l’accès s’il perd l’application d’authentification (AWS). Suivez ensuite les étapes d’AWS (AWS) :

1. Connectez-vous à la console en tant que Root user (utilisateur racine) avec l’adresse e-mail et le mot de passe du compte.
2. À droite de la barre de navigation, choisissez le nom de votre compte, puis Security credentials (informations d’identification de sécurité).
3. Dans la section Multi-Factor Authentication (MFA) (authentification multifacteur), choisissez Assign MFA device (attribuer un appareil MFA).
4. Saisissez un Device name (nom d’appareil), choisissez Authenticator app (application d’authentification), puis Next (suivant).
5. Choisissez Show QR code (afficher le code QR). Dans Novaz, touchez +, puis Scanner un QR code. Si le code s’affiche sur le même iPhone, faites une capture d’écran et utilisez Choisir une photo. Consultez scanner un code QR sur le même iPhone.
6. Si vous ne pouvez pas le scanner, choisissez Show secret key (afficher la clé secrète). Dans Novaz, touchez +, puis Saisir la clé manuellement, et saisissez-la dans Clé de configuration. Les codes AWS comportent six chiffres et changent toutes les 30 secondes : une clé saisie fonctionne donc. Consultez Qu’est-ce qu’une clé de configuration 2FA ?
7. Saisissez le code Novaz en cours dans MFA code 1. Attendez le code suivant, saisissez-le dans MFA code 2 et choisissez Add MFA (ajouter la MFA).

Effectuez l’étape 7 tout de suite, sinon l’appareil est enregistré désynchronisé et doit être resynchronisé (voir plus bas). Ensuite, AWS demande un code à chaque connexion à la console, après votre mot de passe. Les pages d’AWS ne mentionnent pas d’appareils de confiance (AWS).

Activer la MFA pour un utilisateur IAM

Pour votre propre utilisateur IAM, si votre administrateur l’autorise, choisissez votre nom d’utilisateur en haut à droite, puis Security credentials, puis Assign MFA device, et suivez le même assistant. Un tutoriel AWS montre plutôt un seul champ de code et Register MFA (enregistrer la MFA) (AWS).

Un administrateur peut le faire dans la console IAM, sous Users (utilisateurs), le nom de l’utilisateur, puis l’onglet Security Credentials, mais il doit avoir en main le téléphone de cette personne (AWS).

Pas de codes de secours : enregistrez un second appareil

Les pages d’AWS ne mentionnent aucun code de secours. En revanche, chaque utilisateur racine et chaque utilisateur IAM peut enregistrer jusqu’à huit appareils MFA de tout type, et n’importe lequel permet de se connecter (AWS). AWS recommande la sauvegarde dans le cloud d’une application d’authentification (AWS). Dans Novaz, il s’agit de Sauvegarde iCloud (PRO), sous Réglages › Sauvegarde, où vous pouvez aussi exporter un fichier de sauvegarde. Il reste utile d’ajouter un second appareil, comme une clé d’accès, une clé de sécurité ou une application d’authentification sur un autre appareil.

La page d’AWS consacrée à l’utilisateur racine suggère aussi de conserver en lieu sûr une copie du code QR ou de la clé secrète, qui permet de configurer un appareil de remplacement plus tard (AWS). Si vous en gardez une, protégez-la comme le mot de passe racine.

Si AWS refuse votre code

Selon AWS, une application d’authentification peut se désynchroniser. Après des connexions échouées, AWS vous demande de la resynchroniser en saisissant deux codes consécutifs dans MFA code 1 et MFA code 2. Vous pouvez aussi sélectionner l’appareil sous Security credentials et choisir Resync (resynchroniser) (AWS).

Sur iPhone, la cause habituelle est l’horloge : Réglages › Général › Date et heure › Réglage automatique. Novaz vous avertit lorsqu’elle est décalée de 15 secondes ou plus. Plus d’informations dans Le code d’authentification ne fonctionne pas ?

Changer de téléphone ou supprimer un appareil

Ajoutez d’abord le nouveau téléphone comme appareil MFA supplémentaire. Ensuite, sous Security credentials, sélectionnez l’ancien et choisissez deux fois Remove (supprimer). AWS envoie une confirmation par e-mail à l’utilisateur racine (AWS). Les utilisateurs IAM ont besoin d’un appareil existant pour en ajouter ou en supprimer un (AWS). L’utilisateur racine doit toujours en conserver un.

Si vous restaurez Novaz sur le nouvel iPhone depuis la sauvegarde iCloud ou un fichier de sauvegarde, ses codes continuent de fonctionner et vous n’avez pas besoin d’ajouter le nouveau téléphone comme appareil. Consultez Comment transférer votre application d’authentification sur un nouvel iPhone.

Si vous perdez votre application d’authentification

Si vous avez un autre appareil enregistré, choisissez Try another MFA method (essayer une autre méthode MFA) à la connexion. Sinon (AWS) :

• Utilisateur racine : choisissez Troubleshoot MFA (résoudre un problème de MFA), puis Sign in using alternative factors (se connecter avec d’autres facteurs). Vérifiez l’adresse e-mail avec Send verification email (envoyer l’e-mail de vérification), puis le téléphone avec Call me now (m’appeler maintenant) : saisissez sur le clavier de votre téléphone le nombre à six chiffres affiché à l’écran. Une fois connecté, supprimez l’ancien appareil sous Security credentials et ajoutez-en un nouveau. Si le téléphone a été volé, changez aussi le mot de passe racine.
• Plus d’accès à cette adresse e-mail ou à ce téléphone : utilisez le formulaire Lost or unusable MFA device (appareil MFA perdu ou inutilisable) de l’assistance AWS. Si seul le numéro de téléphone n’est plus à jour, un utilisateur IAM disposant d’un accès administrateur peut le modifier (AWS). AWS ne précise pas le délai de récupération.
• Utilisateur IAM : demandez à votre administrateur de supprimer l’appareil. AWS est clair : « Support can’t assist IAM users with MFA device issues » (l’assistance ne peut pas aider les utilisateurs IAM pour les problèmes d’appareil MFA) (AWS).

Plus d’informations dans Vous avez perdu le téléphone qui contient votre application d’authentification ?

Se connecter via le portail d’accès AWS

IAM Identity Center dispose de sa propre MFA : dans le portail d’accès AWS, choisissez MFA devices (appareils MFA), puis Register device (enregistrer un appareil), dans le cadre des règles définies par votre administrateur (AWS).

Aide officielle d’AWS

• Multi-factor authentication for AWS account root user (authentification multifacteur pour l’utilisateur racine)
• Sign in to the AWS Management Console as the root user (se connecter à la console en tant qu’utilisateur racine)
• Enable a virtual MFA device for the root user (console) (activer un appareil MFA virtuel pour l’utilisateur racine)
• Assign a virtual MFA device in the AWS Management Console (attribuer un appareil MFA virtuel dans la console)
• AWS Multi-factor authentication in IAM (authentification multifacteur dans IAM)
• IAM tutorial: Permit users to manage their credentials and MFA settings (tutoriel : permettre aux utilisateurs de gérer leurs identifiants et leur MFA)
• MFA enabled sign-in (connexion avec MFA)
• Resynchronize virtual and hardware MFA devices (resynchroniser les appareils MFA virtuels et matériels)
• Recover an MFA protected identity in IAM (récupérer une identité IAM protégée par MFA)
• Deactivate an MFA device (désactiver un appareil MFA)
• Troubleshooting AWS account sign-in issues (résoudre les problèmes de connexion au compte AWS)
• Update your telephone number to reset an MFA device (mettre à jour votre numéro de téléphone pour réinitialiser un appareil MFA ; AWS Knowledge Center, rédigé par AWS)
• Registering your device for MFA (enregistrer votre appareil pour la MFA)