Contents of this Article

会員制サイトの要件としてありがちなパスワード周辺の強化方法。特に「パスワード期限」制御を追加する方法を紹介します。

Password Policyモジュールのインストール

管理 › モジュール › その他 › Password policy

管理 › モジュール › その他 › Password Policy

Password Policyモジュールの設定

管理 › 環境設定 › ユーザー

管理 › 環境設定

  • [Password policies]をクリックしPassword policiesの環境設定に入ります。

管理 › 環境設定 › ユーザー › Password policies › 環境設定

管理 › 環境設定 › ユーザー › パスワードポリシー

  • Force password change on reset.
    チェックするとパスワードリセット(パスワードの再発行時など)の時にパスワードの変更を強要します。
  • Expiration settings › Admin(UID=1) password expires.
    インストールユーザーに対してもパスワード期限を適用します。
  • Expiration settings › BEGINNING OF PASSWORBEGINNING OF PASSWORD EXPIRATIONS
    パスワード有効期限の始まりを下記より選択します。
    ◎ デフォルトポリシーを設定から有効期限後(すべてのパスワードがデフォルトポリシーを設定から有効期限の間に有効で、その後有効期限よりも古いパスワードが期限切れ)。
    ◎ デフォルトのポリシーを設定する(有効期限よりも古いパスワードがデフォルトのポリシー、遡及動作を設定した後に期限切れ)。
  • Expiration settings › BLOCKING EXPIRED ACCOUNTS
    期限切れのアカウントブロックについて下記より選択します。
    ◎ 期限切れのアカウントがブロックされます。管理者だけが、ブロックを解除することができます。ブロックが解除されると、ユーザーはログインでき、パスワードの変更を強制されます。ログインして1日以内にパスワードを変更しない場合は、再びブロックされます。
    ◎ 期限切れのアカウントはブロックされません。アカウントが期限切れになったユーザーは、次回ログイン時にパスワードの変更を強制されます。
  • 表示の設定 › Show all restrictions on password change page.
    パスワード変更ページのすべての制限を表示します。
  • E-mail notification settings.
    通知メールの設定(Subject, body)の内容設定を行います。

管理 › 環境設定 › Password policy › 追加

パスワードポリシーの詳細設定を行います。

管理 › 環境設定 › ユーザー › パスワードポリシー › 環境設定 › E-mail notification settings

  • 管理用のポリシー名、説明を定義します。
    管理 › 環境設定 › ユーザー › パスワードポリシー › 追加 › Policy
  • パスワード期限を設定します。管理 › 環境設定 › ユーザー › パスワードポリシー › 追加 › 役割
    ・PASSWORD EXPIRAION:パスワードの期限を日単位で設定します。
    ・PASSWORD EXPIRATION WARNING:パスワード切れ警告メールの送信タイミングを(パスワード切れーn日で)指定します。
  • Constraints
    パスワードの成約を追加します。
    「句読点」
     指定数以上の句読点を含む。
    COMPLEXITY」
     指定数以上の小文字、大文字、数字または句読点を含む。
    「履歴」
     全てのユーザーのパスワード履歴内に存在しない。
    (履歴数は本設定有効後、記録されたパスワードが対象)
     [1]を指定すると対象は自分のみ。
     [2]以上を指定すると記録履歴数。
    ​ [all]を指定すると全ユーザー。

    「LOWERCASE」
     指定数以上の小文字を含む。
    DIGIT」
     指定数以上の数字を含む。
    「LETTER」
     指定数以上の文字列を含む。
    「ユーザー名」
     ユーザー名と一致(大文字小文字区別なし)する文字列を含まない。
    「DIGIT PLACEMENT」
     パスワードの先頭のみ、あるいは末尾のみの数字をエラーする。

    「ALPHANUMERIC」
    ​ 指定数以上の英数字を含む。

    「大文字」
     指定数以上の大文字を含む。
    「長さ」
     指定長以上の文字列。
    「DELAY」
     パスワード変更操作の最低空き時間。

管理 › 環境設定 › ユーザー › Password policy › Force password change

管理 › 環境設定 › ユーザー › パスワードポリシー › Force password change

  • 初回ログイン時の強制変更有無と適用する役割(ロール)を選択します。

管理 › 環境設定 › ユーザー › Password policy › Password tab

管理 › 環境設定 › ユーザー › パスワードポリシー › Password tab

  • パスワード変更後の遷移ページを設定します。

パスワードポリシーの運用

パスワードの期限を設定すると、自動的に期限監視が始まります。各ユーザー毎に期限が管理され、各ユーザーへのパスワード変更依頼メールなど、自動的に各ユーザーに送信されます。

セキュリティを高めるとともに、管理者の業務を増やしません。

※ ユーザーによっては、高度なパスワードに戸惑ったり、変更忘れにより管理者負荷が増すことが全く無いとは言えません。しかし「セキュリティを向上させる」という点においておすすめの機能です。

管理 › ユーザー › Expired accounts

管理 › ユーザー › Expired accounts

  • Password policyモジュールをインストールすると、管理ページに「Expired accounts」ページが追加されます。
  • Expired accountsページには期限切れでブロック状態になったユーザーが一覧されます。
  • 管理者権限でブロックされたユーザーを[unblock]することができます。
このエントリーをはてなブックマークに追加
Facebook icon
Twitter icon
Google icon