How do I install the AWS Vault Mfa Iam skill?

Run npx skillmds@latest add mizchi/aws-vault-mfa-iam in your terminal (requires Node.js), paste this page's agent-chat prompt into Claude, Cursor, or any MCP-connected agent, or download the SKILL.md file and copy it into your agent's skills directory.

Is AWS Vault Mfa Iam safe to use?

This skill has not completed SkillMD's automated safety review yet. SkillMD never runs a skill's scripts for you; review the SKILL.md before installing.

Which AI agents work with AWS Vault Mfa Iam?

This skill is tagged as working with Claude Code, Claude.ai, OpenAI Codex. SKILL.md is an open format, so most agents that read a skills directory can load it too.

Is AWS Vault Mfa Iam free to use?

Yes. Installing skills from SkillMD is free, and the skill stays under its author's original license.

Who published AWS Vault Mfa Iam?

mizchi (@mizchi) published this skill. Their other Agent Skills are listed on their SkillMD profile.

AWS Vault Mfa Iam by mizchi — Agent Skill

Name: AWS Vault Mfa Iam
Author: mizchi

AWS Vault Mfa Iam

Use when AWS account の IAM API が MFA 必須 policy で弾かれて、 `sts:GetCallerIdentity` は通るのに `iam:*` が `InvalidClientTokenId` で拒否されるとき、または FIDO2 passkey で MFA が CLI から使えないとき。 aws-vault / aws-cli / MFA / passkey 関連で「アクセス拒否」「token expired」「IAM 操作のみ失敗」等の症状から起動 (user が aws-vault を名指しでなくても OK)。

mizchi Updated Sep 17, 2026

File contents

aws-vault に virtual MFA (TOTP) を設定する

症状

aws-vault exec <profile> -- aws iam list-roles が次のエラーで停止:

InvalidClientTokenId: The security token included in the request is invalid

しかし aws sts get-caller-identity は同じ session で通る。

原因

account にある IAM 権限境界 (boundary policy / SCP / inline policy) が「IAM API は MFA 認証された session でのみ許可」というルールを持っている。aws-vault のデフォルト session は sts:GetSessionToken を MFA なしで取得するため、IAM API だけ弾かれる。

解決手順

1. AWS Console で virtual MFA device を登録

https://us-east-1.console.aws.amazon.com/iam/home#/users/details/<user>?section=security_credentials

「Multi-factor authentication (MFA)」 → 「Assign MFA device」
Device type: Authenticator app を選ぶ（passkey じゃない、CLI から使えない）
1Password / Authy / iOS Passwords / Google Authenticator で QR を読み取り
連続 2 個のコードを入力（30 秒以上空けること、これしないと activate されない）

device の ARN は arn:aws:iam::<ACCOUNT>:mfa/<device-name>。

2. `~/.aws/config` の profile に `mfa_serial` を追加

[profile <profile>]
region = ap-northeast-1
mfa_serial = arn:aws:iam::<ACCOUNT>:mfa/<device-name>

3. session を一度 clear

aws-vault clear <profile>

4. exec で MFA code 入力

aws-vault exec <profile> -- aws iam list-roles
# Enter MFA code: <6桁>

罠

罠	対処
`aws sts get-caller-identity` が通るので「権限はある」と勘違いする	IAM API も叩いて切り分け
FIDO2 passkey は AWS Console login 専用、CLI で使えない	virtual MFA を別途登録
登録途中で activate しないと「`invalid MFA one time pass code`」が永続	「再同期」で連続 2 コード入力
`~/.aws/config` 更新後 cache 残りで古い session を返す	`aws-vault clear <profile>`

関連

IAM ユーザは MFA device を 8 個まで登録可能 → passkey (Console 用) と virtual MFA (CLI 用) を併存できる
一度通れば session token が cache される (default 1h、--duration=4h で延長)

---name: aws-vault-mfa-iamdescription: Use when AWS account の IAM API が MFA 必須 policy で弾かれて、 `sts:GetCallerIdentity` は通るのに `iam:*` が `InvalidClientTokenId` で拒否されるとき、または FIDO2 passkey で MFA が CLI から使えないとき。 aws-vault / aws-cli / MFA / passkey 関連で「アクセス拒否」「token expired」「IAM 操作のみ失敗」等の症状から起動 (user が aws-vault を名指しでなくても OK)。---# aws-vault に virtual MFA (TOTP) を設定する## 症状`aws-vault exec <profile> -- aws iam list-roles` が次のエラーで停止:```InvalidClientTokenId: The security token included in the request is invalid```しかし `aws sts get-caller-identity` は同じ session で通る。## 原因account にある IAM 権限境界 (boundary policy / SCP / inline policy) が「IAM API は MFA 認証された session でのみ許可」というルールを持っている。`aws-vault` のデフォルト session は `sts:GetSessionToken` を MFA なしで取得するため、IAM API だけ弾かれる。## 解決手順### 1. AWS Console で virtual MFA device を登録`https://us-east-1.console.aws.amazon.com/iam/home#/users/details/<user>?section=security_credentials`- 「**Multi-factor authentication (MFA)**」 → 「**Assign MFA device**」- Device type: **Authenticator app** を選ぶ（passkey じゃない、CLI から使えない）- 1Password / Authy / iOS Passwords / Google Authenticator で QR を読み取り- **連続 2 個のコード**を入力（30 秒以上空けること、これしないと activate されない）device の ARN は `arn:aws:iam::<ACCOUNT>:mfa/<device-name>`。### 2. `~/.aws/config` の profile に `mfa_serial` を追加```ini[profile <profile>]region = ap-northeast-1mfa_serial = arn:aws:iam::<ACCOUNT>:mfa/<device-name>```### 3. session を一度 clear```shaws-vault clear <profile>```### 4. exec で MFA code 入力```shaws-vault exec <profile> -- aws iam list-roles# Enter MFA code: <6桁>```## 罠| 罠 | 対処 ||---|---|| `aws sts get-caller-identity` が通るので「権限はある」と勘違いする | IAM API も叩いて切り分け || FIDO2 passkey は AWS Console login 専用、CLI で使えない | virtual MFA を別途登録 || 登録途中で activate しないと「`invalid MFA one time pass code`」が永続 | 「再同期」で連続 2 コード入力 || `~/.aws/config` 更新後 cache 残りで古い session を返す | `aws-vault clear <profile>` |## 関連- IAM ユーザは MFA device を **8 個まで**登録可能 → passkey (Console 用) と virtual MFA (CLI 用) を併存できる- 一度通れば session token が cache される (default 1h、`--duration=4h` で延長)

Frequently asked questions