アカウント MFAを有効にする

IAM Identity Service または All IAM アカウント Management サービスの管理者として、 アカウント内のすべてのユーザー、シングルサインオン (SSO) を使用しない IBMID を持つユーザーだけ、または個々のユーザーに対して多要素認証 (MFA) を要求することを選択できます。

2023年5月3日以降、デフォルトでは、MFAが「 なし 」に設定されているすべてのユーザーに対して、ユーザー名とパスワードのみによるCLIログインが無効になります。 これは、新規および既存のアカウントユーザーに適用されます。 管理者は、 IBM Cloud コンソールで、その日付より前にオプトアウトすることができます。 詳細については、 パスワードのみでCLIログインを無効にするを 参照してください

アカウント内の各ユーザーの MFA 要件を表示し、MFA ステータス レポートを生成して要件を満たしているかどうかを判断します。 詳細については、 ユーザーのMFAステータスの識別を 参照。

開始前に

以下の情報は、 アカウント MFAを有効にする前に考慮すると便利です：

  • アカウント全ユーザに対してMFAを有効にすると、 アカウント全メンバーに影響します。 アカウントユーザーが複数の IBM Cloud アカウントメンバーである場合、MFAが有効になっているアカウントリソースを使用するつもりがなくても、次回のログイン時にMFAに登録する必要があります。
  • ユーザーおよびサービス ID 用の API キーは、MFA が有効にされた後も引き続き機能します。
  • アカウントに対する MFA は、ユーザーのログインに適用されますが、API 呼び出しには適用されません。 アカウント内のリソースへの API 呼び出しを行う許可を持つユーザーは、MFA を実行せずにこれを行うことができます。 ユーザーは、他のアカウントに属している場合、MFA を必要としないアカウントからの API キーを使用して、アカウント内のリソースへの API 呼び出しを行うことができます。
  • アカウント内のユーザーに対する通知方法およびサポート対策を計画してください。
    • MFA を有効にする予定の日時を、ビジネスへの影響が最も少なくなるように選択してください。
    • MFAを有効にした後、 アカウント内のユーザーに設定方法を通知します。

アカウントデフォルト MFA を設定すると、 アカウント内のすべての IBMid ユーザーは、ログイン時に IBMid MFA 認証を要求されます。 アカウントのいずれかの IBMid ユーザーに対して他の MFA 要素をセットアップしていた場合、それらの MFA 要素についてのプロンプトはそのユーザーに表示されなくなります。 たとえば、 クラシック・インフラストラクチャー リソースのお客様セキュリ ティ・クエスチョンを有効にしていた場合、MFA アカウント設定はセキュリティ・クエスチ ョンのオプションよりも優先されます。

また、 アカウント表示する > 自分のアカウント管理する をクリックして、 検証方法と認証要素 ページでアカウント MFA を有効/無効にすることもできます。

MFA の有効化

MFAはログイン時にのみ有効になるため、MFAを有効にしてもすでにログインしているユーザーには影響しない。 アカウント・ユーザーに MFA が有効になったことを通知し、次回ログイン時のユーザーへの影響を説明してください。

MFA 設定の更新後に初めてアカウントにログインするときは、2 つの異なる検証方式を使用して ID を検証する必要があります。 検証の方式には、E メール、テキスト・メッセージ、電話があります。これらのオプションの任意の組み合わせを使用して ID を検証することができます。 ID を検証したら、認証要素をセットアップします。 検証方法や認証要素を後で更新する必要がある場合は、 検証方法とMFA要素の管理を 参照してください。

アカウント MFAを有効にする

  1. IBM Cloud コンソールで**「管理」** > 「アクセス (IAM)」 > **「設定」**に移動します。
  2. 認証 」をクリックする。
  3. アカウント有効にしたいMFAのタイプを選択します。 MFAオプションの詳細については、 MFAオプションを 参照してください。

個々のユーザーに対してMFAを有効にする

  1. IBM Cloud コンソールで、「 管理」 >「 アクセス（IAM） 」>「 ユーザー 」と進み、MFA を更新したいユーザーを選択する。

  2. MFA セクションに移動し、 Edit アイコンをクリックする Edit アイコン.

  3. ユーザーに対して有効にするMFAのタイプを選択します。

    デフォルトでは、 アカウントデフォルトを使用する が選択されている。 アカウントデフォルトは、 アカウント レベルで有効になっているMFAオプションである。 アカウントデフォルトを表示するには、 ［管理］＞［アクセス（IAM）］＞［設定］＞［認証］に進みます。

  4. 保存 をクリックします。

管理］＞［アクセス（IAM）］＞［設定］＞［認証］を選択すると、 アカウントデフォルトとは異なるMFA要件が設定されているアカウント内のユーザーのリストを表示できます。 次に、「 User-specific MFA」 セクションを表示する。

MFA の無効化

MFA の無効化は、既にログイン済みのユーザーには影響しません。 このアクションは、すべての新規ログインに影響します。

アカウント MFAを無効にする

  1. IBM Cloud コンソールの Manage > Access (IAM) > Settings > Authentication に進む。
  2. **「なし」**を選択します。

個々のユーザーのMFAを無効にする

  1. IBM Cloud コンソールで、「 管理」 >「 アクセス（IAM） 」>「 ユーザー 」と進み、MFA を更新したいユーザーを選択する。
  2. MFA セクションに移動し、 Edit アイコンをクリックする Edit アイコン.
  3. **「なし」**を選択します。
  4. 保存 をクリックします。

パスワードのみでのCLIログインを無効にする

新しい

ユーザーまたはアカウントパスワードのみでCLIログインを無効にすることで、多要素認証を完了する必要のないユーザーのセキュリティレベルを向上させます。 この方法では、CLIにログインするためにAPIキーを要求したり、ユーザーが --sso、ログインのたびにMFAを完了する必要がなくなります。

パスワードのみでのCLIログインを無効にするには、以下の手順を実行します：

  1. IBM Cloud コンソールで、「 管理 > アクセス（IAM） 」に進みます
    • 個々のユーザーに適用するには、 「ユーザー 」をクリックし、MFAを更新したいユーザーを選択します。
      1. MFA セクションに移動し、 Edit アイコンをクリックする Edit アイコン.
    • この設定をアカウント適用するには、 [設定 ] > [ 認証] をクリックします。
  2. **「なし」**を選択します。
  3. 選択 パスワードのみでのCLIログインを無効にする
  4. 個々のユーザーの場合は、[ 保存] をクリックします。

ユーザーが新しいデバイスやブラウザでログインしていることを IBMid が検知した場合、追加要素の入力は一度だけ促される。 ユーザーが新しいデバイスで追加のファクターを使用してログインすると、そのファクターの入力を再度要求されることはありません。 これにより、特定のプログラムによる攻撃ベクトルを防ぎ、ユーザーがログインするたびにプロンプトを表示することなく、ユーザー アカウントセキュリティを強化することができます。