平台设置
AWS 怎么添加验证器？从根用户和 IAM 用户说起
找到对应身份的 MFA 设置，添加虚拟验证器，再按页面要求输入验证码完成确认。
先说结论
先确认正在设置根用户、IAM 用户，还是组织统一登录。进入对应身份的 MFA 设置，选择支持的验证方式；绑定虚拟验证器时，扫描二维码并按页面要求提交验证码。
先分清根用户、IAM 用户和统一登录
根用户与 IAM 用户拥有不同的职责和管理入口。先确认你要保护的身份，是否有权限管理其 MFA，以及公司是否已经统一使用联邦身份登录。
不要为了排查验证码而共享根账号，或给日常用户临时扩大权限。遇到无权管理的设备，应由授权管理员处理，而不是复制别人的密钥。
在安全设置里选择验证方式
AWS 官方优先建议可行时使用通行密钥或安全密钥。需要虚拟验证器时，确认它能按网站要求生成相应 TOTP，而不是把任何手机通知都当成 MFA。
选择工具还要考虑换设备和备用渠道。能在手机显示数字，不代表电脑损坏、手机遗失或人员变更后的恢复流程已经准备好。
扫描二维码，按要求提交连续验证码
以 IAM 用户的控制台流程为例，在安全凭据中分配验证器应用，按页面读取设置二维码或手动密钥，再完成验证确认。根用户和联邦身份不应照抄这个入口。
AWS 的该流程要求两次连续生成的代码。不要把同一个代码重复填两遍；等待下一轮后及时提交，并按页面结果确认绑定完成。
把设备和恢复安排一起记下来
记录这次设置对应的 AWS 身份、设备和恢复联系人。根用户与 IAM 用户的恢复路径不同，分别保存官方入口，团队账号由有权限的管理员安排。
组织允许使用普通 TOTP 时，可以用 Authenticator Cloud 管理验证码。Pro 用户在手机 App 和浏览器插件登录同一账号并完成同步，日常登录 AWS 控制台时取码更方便。
参考资料
详细设置步骤可参阅以上官方帮助。
