ローカルアカウントとセキュリティポリシー
このページで解決すること
Section titled “このページで解決すること”接続はまず「あなたは誰か」を示すところから始まります。第 01 層が受け持つのは身元です。アカウントはどこから来るのか、 パスワードはどれくらい強くするのか、ロックの閾値はどこか、ログイン画面で利用者に何を伝えるのか、 どの送信元アドレスからそのアカウントを使えるのか。 ローカルアカウントはディレクトリサービスやシングルサインオンと併存できます。このページではローカルアカウントと、アカウント共通のポリシーを扱います。
設定のしかた
Section titled “設定のしかた”管理者は「ユーザー管理」でアカウントを扱います。一覧はユーザー名またはメールアドレスで検索でき、 アカウントごとに出どころ（ローカル作成、LDAP ディレクトリ、ID プロバイダー）が示され、外部 ID の紐付けと解除ができます。 ロールの変更はすぐに効き、関連するログイン用のトークンも同時に無効になります。
よく使う操作は次のとおりです。
- 「ロック解除」：連続失敗でロックされたアカウントを通します。
- 「休眠の除外」：特定のアカウントを、休眠による自動停止の対象から外します。
- 他人の多要素認証を無効化する：端末を替えて復旧コードも失った利用者への救済経路です。
- 「許可する送信元ネットワーク」：下の節を参照してください。
管理者が作ったローカルアカウントには必ずパスワード変更の強制が付きます。第三者の手を経た初期パスワードは、利用者が最初のログインで変えます。 初期パスワードはパスワード履歴に入るので、元の値には戻せません。
AI agent 主体
Section titled “AI agent 主体”利用者管理では人間の責任者を持つ AI agent も作成します。トークン、役割、セルフサービスの上限は主体種別に沿って管理します。AI agent アカウントとトークンを参照してください。
「ユーザーグループ」は権限の主体をまとめる軸で、ロールとは別の次元です。グループに権限を与えると、所属する全員に効きます。 グループを消すときは、その操作で何件の権限が連動して取り消されるかを画面が先に示します。
ユーザーグループのメンバーは手動で追加するか、外部ログイン時の外部グループのマッピングで追加できます。画面には手動、マッピング、両方を表示します。手動リストの編集はマッピングの根拠を上書きせず、マッピングの再計算も手動メンバーを残します。
本人向けのページ
Section titled “本人向けのページ”利用者にはそれぞれ「プロフィール」のページがあり、アカウント情報、自分でのパスワード変更、多要素認証の管理が同じ入口にまとまっています。 正式な氏名はディレクトリサービスに任せて読み取り専用にし、別に自由に決められる表示名を用意しています。 ディレクトリサービスや ID プロバイダーが管理するアカウントでは、パスワード変更のカードが案内に変わり、どこで変えるかを示します。
セキュリティポリシー
Section titled “セキュリティポリシー”「セキュリティポリシー」のページにあるポリシーキーと出荷時の値です。
| ポリシー | 出荷時の値 |
|---|---|
| ロックの閾値（失敗回数） | 10 |
| ロックの時間（分） | 30 |
| パスワードの最短の長さ | 12 |
| パスワードに英数字を含める | はい |
| パスワード履歴の件数 | 4 |
| パスワードの有効日数 | 0（無期限） |
| リセット後にパスワード変更を強制 | はい |
| 多要素認証を強制する範囲 | 無効 |
| ウェブの休眠分数 | 60 |
| ウェブセッションの最長時間（時間） | 12 |
| 休眠アカウントを自動停止する日数 | 0（使わない） |
各ポリシーキーは引き出しに、いま効いているポリシーグループの要求と判定を並べます。ページ先頭で一組、または効いているすべての組に適用でき、変わるキーを先にプレビューします。すでに厳しい値はそのまま、組どうしの衝突は管理者に残します。保存を押して初めて効きます。 ポリシーグループと対照ページはポリシーグループ、コンプライアンス対照です。
ログイン告示
Section titled “ログイン告示”同じセキュリティポリシーのページで、「ログイン告示のタイトル」（1 行、120 文字まで）と「ログイン告示の本文」 （改行可、2000 文字まで）を入れます。内容はプレーンテキストとしてログイン画面のフォームの前に出て、ログインのどの段階でも見えます。 本文を空にすると表示は止まります。
アカウント単位の送信元アドレス制限
Section titled “アカウント単位の送信元アドレス制限”アカウント編集の「許可する送信元ネットワーク」欄に、アドレスまたはネットワーク（たとえば 10.0.0.0/8）を入れます。1 アカウントあたり 32 件までです。
アドレスだけを書いた場合は単一ホストとして扱います。空欄なら制限をかけません。画面は三つの状態を分けて示します。制限なし、制限なしと同じ、限定あり、の三つです。
自分を締め出す設定には警告が出ますが、保存は止めません。あわせて復旧の道筋も示します。
監査で見えること
Section titled “監査で見えること”- アカウントの更新は項目単位で変更の前後の差分を残します。ロック解除は独立した操作の種別です。
- 送信元ネットワークの変更も同じ項目差分に載り、前後の値がそのまま残ります。
- ポリシーの変更は変更者、ポリシーキー、旧値と新値を記録します。ログイン告示の二つのキーは旧値と新値を全文で保存します。
- 休眠アカウントの自動停止と、除外フラグの変更は、それぞれ独立した記録です。
- 利用者がポリシーに合わないパスワードでログインしたときは一件の記録が残ります。内容は分類だけで、パスワードの材料は入りません。