説明
アカウント全体でMFAを必須にしていない場合、個別ユーザーの設定によってはパスワードだけでコンソールにサインインできます。追加の認証要素はパスワード漏えいへの保護を強化します。
想定される影響
MFAで保護されていないユーザーは、パスワードが漏えいした場合にアカウントへアクセスされるリスクが高まります。
対処方法
MFAの登録と復旧手順を準備してから、コンソールのサインインでMFAを必須にしてください。既存のenforce_mfa_for_login = trueは、このアカウント全体の要件を設定します。
例
以下は互換性のある既存フィールドで必須設定を追加する例です。現在の構成ではmfa_operation_for_loginをmandatoryに設定できます。
変更前
hcl
resource "alicloud_ram_security_preference" "example" {
enable_save_mfa_ticket = false
allow_user_to_change_password = true
}
変更後
hcl
resource "alicloud_ram_security_preference" "example" {
enable_save_mfa_ticket = false
allow_user_to_change_password = true
enforce_mfa_for_login = true
}