跳到正文
Novaz Authenticator获取

AWS 2FA：如何为根用户和 IAM 用户设置身份验证器 App

作者：Novaz 团队 · 更新于 2026年11月5日
Novaz 操作步骤已在 1.0.5 版本中核实

本文译自英文指南。在服务的网站上，按钮和菜单的中文名称可能略有不同。

本页内容
  1. 为根用户开启 MFA
  2. 为 IAM 用户开启 MFA
  3. 没有备用码：注册第二台设备
  4. 如果 AWS 不接受你的验证码
  5. 更换手机或移除设备
  6. 如果丢失了身份验证器
  7. 通过 AWS 访问门户登录
  8. AWS 官方帮助

AWS 账号的控制台登录有两种：根用户，即开设账号时使用的电子邮件地址和密码（AWS）；以及 IAM 用户，它们是独立的登录身份，有各自的 MFA 设置（AWS）。对于所有类型的账号，根用户都必须使用多重身份验证（MFA）：从你第一次尝试登录起，你有 35 天时间注册一台设备（AWS）。至于 IAM 用户，则由账号管理员决定。

AWS 接受通行密钥和安全密钥（这是它推荐的方式），也接受身份验证器 App（用 AWS 的术语说是虚拟 MFA 设备）和硬件令牌。短信 MFA 已无法再开启（AWS）。本指南以 iPhone 上的 Authenticator App - Novaz 为例，其他身份验证器 App 的操作也一样。

我们如何核实本指南： AWS 的步骤来自 AWS 官方文档和 Knowledge Center 文章（链接见下文），我们于 2026 年 10 月 20 日查阅。我们没有在 AWS 账号上实际测试。AWS 各页面使用的标签并不完全一致，所以你看到的可能略有不同。Novaz 的步骤已在 1.0.5 版 App 中核对。

为根用户开启 MFA

首先，确认你仍能使用账号的电子邮件地址和主要联系电话。如果丢失了身份验证器，它们就是根用户重新登录的途径（AWS）。然后按照 AWS 的步骤操作（AWS）：

  1. 使用账号的电子邮件地址和密码，以 Root user（根用户）身份登录控制台。
  2. 在导航栏右侧选择你的账号名称，然后选择 Security credentials（安全凭证）。
  3. 在 Multi-Factor Authentication (MFA)（多重身份验证）部分，选择 Assign MFA device（分配 MFA 设备）。
  4. 输入 Device name（设备名称），选择 Authenticator app（身份验证器应用程序），然后选择 Next（下一步）。
  5. 选择 Show QR code（显示二维码）。在 Novaz 中点按 +，然后点按 扫描二维码。如果二维码就在这台 iPhone 上，先截屏，再使用 选择照片。参阅在同一台 iPhone 上扫描二维码。
  6. 如果无法扫描，选择 Show secret key（显示密钥）。在 Novaz 中点按 +，然后点按 手动输入密钥，把它填入 设置密钥。AWS 的验证码是 6 位，每 30 秒更换一次，所以手动输入的密钥可以正常使用。参阅什么是 2FA 设置密钥？
  7. 在 MFA code 1（MFA 代码 1）中输入 Novaz 当前的验证码。等下一个验证码出现后，把它输入 MFA code 2（MFA 代码 2），然后选择 Add MFA（添加 MFA）。

第 7 步要立即完成，否则设备保存时会处于不同步状态，需要重新同步（见下文）。此后，每次登录控制台时，AWS 都会在密码之后要求输入验证码。AWS 的页面没有提到受信任设备（AWS）。

为 IAM 用户开启 MFA

对于你自己的 IAM 用户，如果管理员允许，在右上角选择你的用户名，然后选择 Security credentials，再选择 Assign MFA device，按照同样的向导操作。有一篇 AWS 教程显示的则是一个验证码输入框和 Register MFA（注册 MFA）（AWS）。

管理员也可以在 IAM 控制台中依次进入 Users（用户）、该用户的名称、Security Credentials（安全凭证）标签页来完成设置，但需要拿着那个人的手机（AWS）。

没有备用码：注册第二台设备

AWS 的页面没有提到备用码。取而代之的是，每个根用户和 IAM 用户最多可以注册八台任意类型的 MFA 设备，任意一台都能让你登录（AWS）。AWS 建议使用身份验证器 App 的云备份（AWS）。在 Novaz 中，这就是 设置 › 备份 下的 iCloud 备份（PRO），你也可以在那里导出备份文件。即便如此，仍然值得再添加一台设备，例如通行密钥、安全密钥，或另一台设备上的身份验证器。

AWS 的根用户页面还建议安全地保存一份二维码或密钥的副本，以后可以用它设置替代设备（AWS）。如果你保留了副本，要像保护根用户密码一样保护它。

如果 AWS 不接受你的验证码

AWS 表示，身份验证器可能会逐渐失去同步。登录失败后，它会要求你重新同步：在 MFA code 1 和 MFA code 2 中连续输入两个验证码。你也可以在 Security credentials 下选择该设备，然后选择 Resync（重新同步）（AWS）。

在 iPhone 上，常见原因是时钟：设置 › 通用 › 日期与时间 › 自动设置。时钟偏差达到 15 秒或以上时，Novaz 会提醒你。详见身份验证器验证码无效？

更换手机或移除设备

先把新手机添加为额外的 MFA 设备。然后在 Security credentials 下选择旧设备，选择两次 Remove（删除）。AWS 会给根用户发送一封确认邮件（AWS）。IAM 用户需要用一台现有设备才能添加或移除设备（AWS）。根用户必须始终保留一台设备。

如果你在新 iPhone 上从 iCloud 备份或备份文件恢复 Novaz，验证码会继续有效，无需把新手机添加为设备。参阅如何把身份验证器 App 转移到新 iPhone。

如果丢失了身份验证器

如果你还有其他已注册的设备，登录时选择 Try another MFA method（尝试其他 MFA 方法）。如果没有（AWS）：

  • 根用户： 选择 Troubleshoot MFA（MFA 故障排除），然后选择 Sign in using alternative factors（使用其他因素登录）。先用 Send verification email（发送验证邮件）验证电子邮件，再用 Call me now（立即呼叫我）验证电话：在手机拨号键盘上输入屏幕显示的 6 位数字。登录后，在 Security credentials 下删除旧设备并添加新设备。如果手机是被盗的，还要修改根用户密码。
  • 无法使用那个电子邮件或电话： 使用 AWS Support 的 Lost or unusable MFA device（MFA 设备丢失或无法使用）表单。如果只是电话号码过时了，拥有管理员权限的 IAM 用户可以更新它（AWS）。AWS 没有说明恢复需要多长时间。
  • IAM 用户： 请管理员移除该设备。AWS 明确表示“Support can't assist IAM users with MFA device issues”（Support 无法协助 IAM 用户处理 MFA 设备问题）（AWS）。

详见丢了装有身份验证器 App 的手机？

通过 AWS 访问门户登录

IAM Identity Center 有自己的 MFA：在 AWS 访问门户中选择 MFA devices（MFA 设备），然后选择 Register device（注册设备），具体规则由管理员设定（AWS）。

AWS 官方帮助

更多指南：主机和云服务