security - AWS 安全 - 如果我丢失 MFA 设备会怎样？

Question

为我的 AWS 根账户启用多重身份验证后，我感觉存在风险:我的身份验证器位于我的手机上。如果我丢失了手机，我的 root 帐户是否会永远被锁定？我的意思是，显然我可以下载另一个身份验证器，我担心的是我扫描的二维码:我不确定我是否有必要的访问权限来检索/重新生成它。有人给建议吗？

Answer 1

实际上，在您的计算机上生成与 AWS IAM 虚拟 MFA 设备生成的代码相同的代码非常容易!您只需保留在“管理 MFA 设备”过程中可见的 key 的安全备份即可。

在设备注册期间，在二维码下方，展开“显示手动配置 key ”:复制该字符串并将其加密保存在安全的地方。然后继续注册您的电话等。和平常一样。

将来，如果您丢失了手机，您可以通过运行通过以下 python 代码片段保存的 key 来生成当前基于时间的一次性密码代码:

#!/usr/bin/env python
from base64 import b32decode

from oath import totp

SEED = 'SECRET_KEY'  # replace content of this string
                     # with your saved secret key

print totp(
    b32decode(SEED).encode('hex'),
    format='dec6',
    period=30)

(您需要首先pip install oath，它不是Python标准库的一部分。)