mcpField
A
aws-vault-mfa-iam

aws-vault-mfa-iam

github.com/mizchiCloud & DevOps41650 installsUpdated 1w ago
Repository

About aws-vault-mfa-iam

A Japanese-language skill for configuring virtual MFA with aws-vault when AWS IAM API calls require MFA-authenticated sessions. It explains setup, session refresh, and common failure modes.

Key features

  1. 01Register a virtual MFA device
  2. 02Set mfa_serial in AWS config
  3. 03Clear cached aws-vault sessions
  4. 04Troubleshoot MFA activation and token errors

Use cases

  1. 01Enable MFA for aws-vault IAM commands
  2. 02Diagnose IAM API failures despite valid STS identity

Install

Copy the command and run it in a terminal.

$npx skills add https://github.com/mizchi/skills --skill aws-vault-mfa-iam

After installing, type/aws-vault-mfa-iamin Claude Code to confirm it loaded.

Bundled filesREADME.md

Details

From the project README

aws-vault に virtual MFA (TOTP) を設定する

症状

aws-vault exec <profile> -- aws iam list-roles が次のエラーで停止:

InvalidClientTokenId: The security token included in the request is invalid

しかし aws sts get-caller-identity は同じ session で通る。

原因

account にある IAM 権限境界 (boundary policy / SCP / inline policy) が「IAM API は MFA 認証された session でのみ許可」というルールを持っている。aws-vault のデフォルト session は sts:GetSessionToken を MFA なしで取得するため、IAM API だけ弾かれる。

解決手順

1. AWS Console で virtual MFA device を登録

https://us-east-1.console.aws.amazon.com/iam/home#/users/details/<user>?section=security_credentials

  • 「Multi-factor authentication (MFA)」 → 「Assign MFA device」
  • Device type: Authenticator app を選ぶ（passkey じゃない、CLI から使えない）
  • 1Password / Authy / iOS Passwords / Google Authenticator で QR を読み取り
  • 連続 2 個のコードを入力（30 秒以上空けること、これしないと activate されない）

device の ARN は arn:aws:iam::<ACCOUNT>:mfa/<device-name>。

2. ~/.aws/config の profile に mfa_serial を追加
[profile <profile>]
region = ap-northeast-1
mfa_serial = arn:aws:iam::<ACCOUNT>:mfa/<device-name>
3. session を一度 clear
aws-vault clear <profile>
4. exec で MFA code 入力
aws-vault exec <profile> -- aws iam list-roles
# Enter MFA code: <6桁>

罠

罠対処
aws sts get-caller-identity が通るので「権限はある」と勘違いするIAM API も叩いて切り分け
FIDO2 passkey は AWS Console login 専用、CLI で使えないvirtual MFA を別途登録
登録途中で activate しないと「invalid MFA one time pass code」が永続「再同期」で連続 2 コード入力
~/.aws/config 更新後 cache 残りで古い session を返すaws-vault clear <profile>

関連

  • IAM ユーザは MFA device を 8 個まで登録可能 → passkey (Console 用) と virtual MFA (CLI 用) を併存できる
  • 一度通れば session token が cache される (default 1h、--duration=4h で延長)

Comments

Markdown supported