2FA cho AWS: cách thiết lập ứng dụng xác thực cho người dùng root và IAM

Một tài khoản AWS có hai kiểu đăng nhập bảng điều khiển (console): người dùng root, tức địa chỉ email và mật khẩu đã dùng để mở tài khoản (AWS), và người dùng IAM, các tài khoản đăng nhập riêng có cài đặt MFA riêng (AWS). Xác thực đa yếu tố (MFA) là bắt buộc với người dùng root trên mọi loại tài khoản: bạn có 35 ngày kể từ lần thử đăng nhập đầu tiên để đăng ký một thiết bị (AWS). Với người dùng IAM, việc này do quản trị viên của tài khoản quyết định.

AWS chấp nhận mã khóa và khóa bảo mật, là những phương thức họ khuyên dùng, cùng với ứng dụng xác thực (theo cách gọi của AWS là thiết bị MFA ảo) và token phần cứng. MFA qua tin nhắn SMS không còn bật được nữa (AWS). Hướng dẫn này dùng Authenticator App - Novaz trên iPhone, nhưng mọi ứng dụng xác thực đều làm theo cách tương tự.

Cách chúng tôi kiểm tra hướng dẫn này: các bước cho AWS lấy từ tài liệu và các bài Knowledge Center của chính AWS (có liên kết bên dưới), mà chúng tôi đã đọc vào ngày 20 tháng 10 năm 2026. Chúng tôi chưa thử các bước này trên một tài khoản AWS. Các trang của AWS không phải lúc nào cũng dùng cùng nhãn, nên những gì bạn thấy có thể hơi khác. Các bước trong Novaz đã được kiểm tra trên ứng dụng, phiên bản 1.0.5.

Bật MFA cho người dùng root

Trước tiên, hãy kiểm tra xem bạn vẫn truy cập được địa chỉ email của tài khoản và số điện thoại liên hệ chính hay không. Đó là cách để người dùng root vào lại nếu bạn mất ứng dụng xác thực (AWS). Sau đó làm theo các bước của AWS (AWS):

1. Đăng nhập bảng điều khiển với tư cách Root user (người dùng root) bằng địa chỉ email và mật khẩu của tài khoản.
2. Ở bên phải thanh điều hướng, chọn tên tài khoản, rồi Security credentials (thông tin xác thực bảo mật).
3. Trong phần Multi-Factor Authentication (MFA) (xác thực đa yếu tố), chọn Assign MFA device (gán thiết bị MFA).
4. Nhập Device name (tên thiết bị), chọn Authenticator app (ứng dụng xác thực), rồi Next (tiếp).
5. Chọn Show QR code (hiện mã QR). Trong Novaz, chạm vào +, rồi Quét mã QR. Nếu mã nằm trên chính iPhone đó, hãy chụp ảnh màn hình và dùng Chọn ảnh. Xem cách quét mã QR trên cùng một iPhone.
6. Nếu bạn không quét được, chọn Show secret key (hiện khóa bí mật). Trong Novaz, chạm vào +, rồi Nhập khóa thủ công, và nhập khóa vào ô Khóa cài đặt. Mã AWS có 6 chữ số và đổi mỗi 30 giây, nên khóa nhập tay vẫn dùng được. Xem Khóa cài đặt 2FA là gì?
7. Nhập mã Novaz hiện tại vào ô MFA code 1 (mã MFA 1). Chờ mã tiếp theo, nhập vào ô MFA code 2 (mã MFA 2), và chọn Add MFA (thêm MFA).

Hãy làm bước 7 ngay lập tức, nếu không thiết bị sẽ được lưu ở trạng thái lệch đồng bộ và cần đồng bộ lại (xem bên dưới). Từ đó, AWS hỏi mã ở mỗi lần đăng nhập bảng điều khiển, sau mật khẩu. Các trang của AWS không nhắc đến thiết bị tin cậy (AWS).

Bật MFA cho người dùng IAM

Với người dùng IAM của chính bạn, nếu quản trị viên cho phép, hãy chọn tên người dùng ở góc trên bên phải, rồi Security credentials, rồi Assign MFA device, và làm theo cùng trình hướng dẫn. Một bài hướng dẫn của AWS cho thấy chỉ có một ô nhập mã và nút Register MFA (đăng ký MFA) thay vào đó (AWS).

Quản trị viên có thể làm việc này trong bảng điều khiển IAM, tại Users (người dùng), tên người dùng, rồi thẻ Security Credentials, nhưng cần cầm điện thoại của người đó trên tay (AWS).

Không có mã dự phòng: hãy đăng ký thiết bị thứ hai

Các trang của AWS không nhắc đến mã dự phòng. Thay vào đó, mỗi người dùng root và người dùng IAM có thể đăng ký tối đa tám thiết bị MFA thuộc bất kỳ loại nào, và thiết bị nào cũng đăng nhập được cho bạn (AWS). AWS khuyên dùng tính năng sao lưu đám mây của ứng dụng xác thực (AWS). Trong Novaz, đó là Sao lưu iCloud (PRO) trong Cài đặt › Sao lưu, nơi bạn cũng có thể xuất tệp sao lưu. Dù vậy, vẫn nên thêm một thiết bị thứ hai, như mã khóa, khóa bảo mật, hoặc ứng dụng xác thực trên một thiết bị khác.

Trang về người dùng root của AWS cũng gợi ý giữ một bản sao an toàn của mã QR hoặc khóa bí mật, để sau này thiết lập thiết bị thay thế (AWS). Nếu bạn giữ bản sao, hãy bảo vệ nó như mật khẩu root.

Nếu AWS từ chối mã của bạn

AWS cho biết ứng dụng xác thực có thể bị lệch đồng bộ. Sau các lần đăng nhập thất bại, AWS yêu cầu bạn đồng bộ lại bằng cách nhập hai mã liên tiếp vào MFA code 1 và MFA code 2. Bạn cũng có thể chọn thiết bị trong Security credentials và chọn Resync (đồng bộ lại) (AWS).

Trên iPhone, nguyên nhân thường gặp là đồng hồ: Cài đặt › Cài đặt chung › Ngày & Giờ › Đặt tự động. Novaz cảnh báo khi đồng hồ lệch từ 15 giây trở lên. Xem thêm ở Mã xác thực không hoạt động?

Đổi điện thoại hoặc gỡ một thiết bị

Hãy thêm điện thoại mới làm thiết bị MFA bổ sung trước. Sau đó, trong Security credentials, chọn thiết bị cũ và chọn Remove (gỡ) hai lần. AWS gửi email xác nhận cho người dùng root (AWS). Người dùng IAM cần một thiết bị hiện có để thêm hoặc gỡ thiết bị (AWS). Người dùng root luôn phải giữ ít nhất một thiết bị.

Nếu bạn khôi phục Novaz trên iPhone mới từ bản sao lưu iCloud hoặc tệp sao lưu, mã vẫn tiếp tục hoạt động và bạn không cần thêm điện thoại mới làm thiết bị. Xem Cách chuyển ứng dụng xác thực sang iPhone mới.

Nếu bạn mất ứng dụng xác thực

Nếu bạn có một thiết bị khác đã đăng ký, hãy chọn Try another MFA method (thử phương thức MFA khác) khi đăng nhập. Nếu không có (AWS):

• Người dùng root: chọn Troubleshoot MFA (khắc phục sự cố MFA), rồi Sign in using alternative factors (đăng nhập bằng yếu tố thay thế). Xác minh email bằng Send verification email (gửi email xác minh), rồi xác minh điện thoại bằng Call me now (gọi cho tôi ngay): nhập số 6 chữ số hiển thị trên màn hình bằng bàn phím điện thoại. Khi đã vào được, hãy xóa thiết bị cũ trong Security credentials và thêm thiết bị mới. Nếu điện thoại bị đánh cắp, hãy đổi cả mật khẩu root.
• Không truy cập được email hoặc điện thoại đó: dùng biểu mẫu Lost or unusable MFA device (thiết bị MFA bị mất hoặc không dùng được) của bộ phận hỗ trợ AWS. Nếu chỉ có số điện thoại là đã cũ, một người dùng IAM có quyền quản trị có thể cập nhật số đó (AWS). AWS không nói việc khôi phục mất bao lâu.
• Người dùng IAM: nhờ quản trị viên gỡ thiết bị. AWS nói rõ "Support can't assist IAM users with MFA device issues" (bộ phận hỗ trợ không thể giúp người dùng IAM với sự cố thiết bị MFA) (AWS).

Xem thêm ở Mất điện thoại có ứng dụng xác thực?

Đăng nhập qua cổng truy cập AWS

IAM Identity Center có MFA riêng: trong cổng truy cập AWS (AWS access portal), chọn MFA devices (thiết bị MFA), rồi Register device (đăng ký thiết bị), theo các quy tắc do quản trị viên đặt (AWS).

Trợ giúp chính thức của AWS

• Multi-factor authentication for AWS account root user (xác thực đa yếu tố cho người dùng root)
• Sign in to the AWS Management Console as the root user (đăng nhập AWS Management Console với tư cách người dùng root)
• Enable a virtual MFA device for the root user (console) (bật thiết bị MFA ảo cho người dùng root)
• Assign a virtual MFA device in the AWS Management Console (gán thiết bị MFA ảo trong AWS Management Console)
• AWS Multi-factor authentication in IAM (xác thực đa yếu tố trong IAM)
• IAM tutorial: Permit users to manage their credentials and MFA settings (cho phép người dùng tự quản lý thông tin xác thực và cài đặt MFA)
• MFA enabled sign-in (đăng nhập khi đã bật MFA)
• Resynchronize virtual and hardware MFA devices (đồng bộ lại thiết bị MFA ảo và phần cứng)
• Recover an MFA protected identity in IAM (khôi phục danh tính được bảo vệ bằng MFA)
• Deactivate an MFA device (vô hiệu hóa thiết bị MFA)
• Troubleshooting AWS account sign-in issues (khắc phục sự cố đăng nhập tài khoản AWS)
• Update your telephone number to reset an MFA device (cập nhật số điện thoại để đặt lại thiết bị MFA; AWS Knowledge Center, do AWS viết)
• Registering your device for MFA (đăng ký thiết bị cho MFA)