Kan ik een authenticator in de browser gebruiken als virtueel MFA-apparaat voor AWS?

Ja. AWS accepteert elke app die RFC 6238 volgt, de standaard voor tijdgebaseerde zescijferige codes, en controleert niet op welk apparaat die draait. De Authenticator-extensie leest de QR-code direct van de console. AWS beschouwt passkeys en beveiligingssleutels wel als sterker tegen phishing, dus overweeg er een toe te voegen als tweede apparaat.

Wat als ik geen toegang meer heb tot mijn authenticator?

Log in met een ander MFA-apparaat als je er een hebt geregistreerd. Zo niet, kies dan als rootgebruiker bij de vraag om MFA “Troubleshoot MFA” (Problemen met MFA oplossen) en daarna “Sign in using alternative factors” (Inloggen met alternatieve factoren): AWS stuurt een verificatiemail naar het adres van het account en belt het telefoonnummer van het primaire contact. Is geen van beide bereikbaar, dan moet AWS Support het apparaat verwijderen. IAM-gebruikers vragen hun beheerder het te deactiveren.

Waarom zegt AWS dat mijn MFA-code onjuist is?

Controleer eerst de klok van de computer: een klok die een minuut afwijkt, levert codes op die AWS weigert. Klopt de klok, dan loopt het apparaat misschien niet meer synchroon — meestal omdat de twee instelcodes te langzaam zijn ingevoerd. Synchroniseer het opnieuw onder Security credentials: selecteer het apparaat, kies “Resync” (Opnieuw synchroniseren) en voer twee opeenvolgende codes in. De link voor probleemoplossing op de inlogpagina biedt hetzelfde.

Waarom vraagt AWS om twee MFA-codes?

Zo bevestigt AWS een nieuw virtueel MFA-apparaat, en dezelfde stap met twee codes wordt later gebruikt om het opnieuw te synchroniseren. Voer de huidige code in bij “MFA code 1”, wacht tot de code in de extensie verandert en voer de nieuwe in bij “MFA code 2” — niet twee keer dezelfde code. Verstuur het daarna meteen.

AWS authenticator-app — een virtueel MFA-apparaat instellen

De rootgebruiker van een AWS-account kan er alles mee — de facturering wijzigen, elke resource verwijderen, het account opheffen — en wie het wachtwoord heeft, kan resources draaien die jij betaalt. AWS vereist inmiddels MFA voor de rootgebruiker van elk type account, en IAM-gebruikers kun je op dezelfde manier beveiligen. Een authenticator-app is de methode waarvoor geen extra hardware nodig is.

Een virtueel MFA-apparaat toewijzen in AWS

AWS vraagt om twee opeenvolgende codes, niet om één: typ de code die de extensie toont in “MFA code 1”, wacht tot hij verandert — maximaal 30 seconden — en typ de nieuwe in “MFA code 2”. Kies daarna meteen “Add MFA” (MFA toevoegen); AWS waarschuwt dat het apparaat niet meer synchroon loopt als je te lang wacht. Voor een IAM-gebruiker staat dezelfde wizard in de IAM-console onder “Users” (Gebruikers) → de naam van de gebruiker → tabblad “Security credentials” (Beveiligingsreferenties) → “Assign MFA device” (MFA-apparaat toewijzen).

Log op je computer in op de AWS Management Console als rootgebruiker — kies “Root user” (Rootgebruiker) en voer het e-mailadres en wachtwoord van het account in.
Kies rechts in de navigatiebalk je accountnaam en daarna “Security credentials” (Beveiligingsreferenties).
Kies in het onderdeel “Multi-Factor Authentication (MFA)” voor “Assign MFA device” (MFA-apparaat toewijzen).
Typ een “Device name” (Apparaatnaam) die je herkent, kies “Authenticator app” en daarna “Next” (Volgende).
Kies “Show QR code” (QR-code tonen), laat die op het scherm staan en voeg hem toe aan de extensie zoals hieronder beschreven — voer daarna twee opeenvolgende codes uit de extensie in bij “MFA code 1” en “MFA code 2” en kies “Add MFA” (MFA toevoegen).

Officiële instructies van AWS

AWS toevoegen aan Authenticator

Installeer 2FA Authenticator via de Chrome Web Store en maak hem vast in de werkbalk, zodat het pictogram altijd één klik weg is.
Laat de pagina van AWS met de QR-code openstaan. Klik op het Authenticator-pictogram en daarna op “Account toevoegen” → “QR-code” → “QR scannen van scherm”.
Het account verschijnt in de lijst met een zescijferige code die elke 30 seconden verandert. Geef het gerust een andere naam — die naam is alleen voor jezelf.
Ga terug naar AWS en typ de huidige code in het bevestigingsveld. Verloopt de code bijna, wacht dan op de volgende.
AWS bevestigt dat tweestapsverificatie aanstaat. Voortaan wordt bij het inloggen om een code gevraagd — klik op het pictogram van de extensie en kopieer hem.

Geen QR-code, of wil hij niet scannen? Zoek in het instelscherm van AWS naar de optie om een sleutel handmatig in te voeren, kopieer de sleutel en voeg hem in de extensie toe via “Account toevoegen” → “Handmatig” → “Geheime sleutel”.

2FA Authenticator voor Chrome installeren — gratis

AWS heeft geen back-upcodes — regel een tweede weg naar binnen

AWS geeft geen back-upcodes. In plaats daarvan raadt AWS een veilige kopie van de QR-code of de geheime sleutel aan, of meer dan één MFA-apparaat — de rootgebruiker en elke IAM-gebruiker kunnen er tot acht registreren. Het eenvoudigst: scan de QR-code, zolang hij op het scherm staat, ook met een authenticator-app op je telefoon, of voeg achteraf een passkey of beveiligingssleutel toe. Raak je alle apparaten kwijt, dan kan de rootgebruiker nog steeds inloggen door het e-mailadres en het telefoonnummer van het primaire contact van het account te verifiëren, dus houd beide actueel; een IAM-gebruiker moet een beheerder vragen het apparaat te verwijderen.

Wordt de code niet geaccepteerd?

Bijna altijd ligt het aan de klok van je computer. De codes worden berekend op basis van de huidige tijd, dus een klok die een minuut afwijkt levert codes op die er goed uitzien maar worden geweigerd. Zet automatische datum en tijd aan in je systeeminstellingen — stap voor stap voor Windows, macOS en Linux.

Klopt de klok wel, controleer dan de sleutel zelf: plak hem in de TOTP-codegenerator en vergelijk de code met die in de extensie. Verschillen ze, dan is de sleutel verkeerd gekopieerd — voeg het account opnieuw toe.

Veelgestelde vragen

Kan ik een authenticator in de browser gebruiken als virtueel MFA-apparaat voor AWS?: Ja. AWS accepteert elke app die RFC 6238 volgt, de standaard voor tijdgebaseerde zescijferige codes, en controleert niet op welk apparaat die draait. De Authenticator-extensie leest de QR-code direct van de console. AWS beschouwt passkeys en beveiligingssleutels wel als sterker tegen phishing, dus overweeg er een toe te voegen als tweede apparaat.
Wat als ik geen toegang meer heb tot mijn authenticator?: Log in met een ander MFA-apparaat als je er een hebt geregistreerd. Zo niet, kies dan als rootgebruiker bij de vraag om MFA “Troubleshoot MFA” (Problemen met MFA oplossen) en daarna “Sign in using alternative factors” (Inloggen met alternatieve factoren): AWS stuurt een verificatiemail naar het adres van het account en belt het telefoonnummer van het primaire contact. Is geen van beide bereikbaar, dan moet AWS Support het apparaat verwijderen. IAM-gebruikers vragen hun beheerder het te deactiveren.
Waarom zegt AWS dat mijn MFA-code onjuist is?: Controleer eerst de klok van de computer: een klok die een minuut afwijkt, levert codes op die AWS weigert. Klopt de klok, dan loopt het apparaat misschien niet meer synchroon — meestal omdat de twee instelcodes te langzaam zijn ingevoerd. Synchroniseer het opnieuw onder Security credentials: selecteer het apparaat, kies “Resync” (Opnieuw synchroniseren) en voer twee opeenvolgende codes in. De link voor probleemoplossing op de inlogpagina biedt hetzelfde.
Waarom vraagt AWS om twee MFA-codes?: Zo bevestigt AWS een nieuw virtueel MFA-apparaat, en dezelfde stap met twee codes wordt later gebruikt om het opnieuw te synchroniseren. Voer de huidige code in bij “MFA code 1”, wacht tot de code in de extensie verandert en voer de nieuwe in bij “MFA code 2” — niet twee keer dezelfde code. Verstuur het daarna meteen.

Je codes op één klik van de inlogpagina

Authenticator bewaart je 2FA-codes in de browser, alleen op je eigen apparaat — gratis te gebruiken, open source, zonder account en zonder telefoon. Lokale back-ups en optionele wachtwoordbeveiliging zijn ingebouwd.