14 パスワード・ポリシーの管理

Oracle Identity Manager Design Consoleの管理フォルダを使用して、Oracle Identity Managerを管理できます。

14.1 パスワード・ポリシーの作成

Oracle Identity Manager Design Consoleでパスワード・ポリシー・フォームを使用してパスワード・ポリシーを作成し、以下の操作を実行できます。

パスワードの制限の設定、たとえばパスワードの最小長と最大長の定義など
パスワード・ポリシーに関連付けられているルールおよびリソース・オブジェクトの参照

14.1.1 ポリシー・ルール・タブ

ポリシー・ルール・タブを使用して、パスワード・ポリシーの基準(たとえばパスワードの最小長と最大長)を指定します。

パスワードの制限を設定するには、次のいずれか(または両方)の方法を使用できます。

適切なフィールドに情報を入力するか、必要なチェック・ボックスを選択します。たとえば、パスワードの最小長を4文字にする必要があることを指定するには、最小長フィールドに4を入力します。
パスワード・ファイルフィールドに、パスワード・ポリシー・ファイルのディレクトリ・パスと名前(たとえば、c:\xellerate\userlimits.txt)を入力します。このファイルには、パスワードとして使用できない事前定義済の用語が含まれています。これらの用語は、パスワード・ファイル・デリミタフィールドに指定されたデリミタで区切られます。このファイル内の事前定義済の用語は、パスワードとして使用できません。たとえば、ファイルにwelcomeという語が含まれる場合、welcome、Welcome、welcome123は不正なパスワードになります。

図14-1に、パスワード・ポリシー・フォームのポリシー・ルール・タブを示します。

表14-1では、ポリシー・ルールタブのデータ・フィールドについて説明します。これらのフィールドでパスワード・ポリシーの基準を指定します。

注意:

ポリシーのデータ・フィールドが空欄の場合、パスワードを有効にするために、このポリシーに適合するパスワードがそのフィールドの基準を満たす必要はありません。たとえば、最小英数字データ・フィールドが空欄の場合、Oracle Identity Managerでは、文字数に関係なくパスワードが受け入れられます。

表14-1 パスワード・ポリシー・フォームのポリシー・ルール・タブのフィールド

フィールド名	説明
最小長	パスワードを有効にするために必要な最小文字数。たとえば、最小長フィールドに4を入力した場合、パスワードは4文字以上にする必要があります。このフィールドには0 - 999の値を入力できます。
有効日数	パスワードを使用できる日数。たとえば、有効日数フィールドに30を入力した場合、パスワードを作成または最終変更したときから30日目までに変更する必要があります。注意: 有効日数フィールドに指定された日数が経過すると、パスワードの変更を求めるメッセージが表示されます。このフィールドには0 - 999の値を入力できます。
最近のパスワードを許可しない	旧パスワードを再利用できる頻度。このポリシーにより、一連の共通パスワードが使い回されることのないようにします。たとえば、最近のパスワードを許可しないフィールドに10を入力した場合、10個の異なるパスワードを使用した後にのみパスワードを再利用できます。このフィールドには0 - 24の値を入力できます。
警告までの期間(日数)	パスワードが指定の日付に期限切れになることをユーザーに通知するまでの経過日数。たとえば、有効日数フィールドに30を入力し、警告までの期間(日数)フィールドに20を入力し、パスワードが11月1日に作成されたとします。11月21日に、パスワードが12月1日に期限切れになることがユーザーに通知されます。このフィールドには0 - 999の値を入力できます。

パスワード・ポリシー・フォームのポリシー・ルール・タブでは、複雑なパスワードまたはカスタム・パスワード・ポリシーのいずれかを構成できます。複雑なパスワード・オプションを選択すると、カスタム・パスワード・オプション設定は使用できず、パスワードはポリシー・ルール・タブで入力した複雑なパスワードの基準に対して評価されます。

次の各項では、ポリシー・ルール・タブの残りのフィールドについて説明します。

複雑なパスワード
カスタム・ポリシー

複雑なパスワード

複雑なパスワードの基準は次のとおりです。

パスワードの長さは6文字以上であること。最小長フィールドに入力された値が6未満の場合、このパスワードの長さが最小長フィールドより優先されます。たとえば、最小長フィールドに2を入力した場合、複雑なパスワードの基準に従って最低6文字が必要であるため、パスワードには6文字以上が必要です。
パスワードには、次の5種類のうち3種類以上の文字が含まれていること。
- 英大文字(A - Z)
- 英小文字(a - z)
- 10進法の数字(0 - 9)
- 英数字以外の文字(!、$、#、%など)
- Unicode文字
パスワードには、3文字以上のユーザーのラスト・ネーム、ファースト・ネーム、ユーザーIDを含めてはなりません。

名前は、カンマ、ピリオド、ダッシュ/ハイフン、アンダースコア、スペース、ポンド記号、タブをデリミタとして解析されます。これらのデリミタのいずれかが検出されると、名前は分割され、すべての部分がパスワードに含まれていないか検証されます。たとえば、ユーザー名がjohn-dの場合は、dは長さが2未満のため、パスワードでチェックされません。同様に、名前がJohn Richard Doeの場合は、john、richard、doeはパスワードに含めることはできません。

ユーザーの氏名と照合する場合、カンマ、ピリオド、ダッシュ/ハイフン、アンダースコア、スペース、ポンド記号、タブなどの文字は、名前を個々の文字セットに分割するデリミタとして扱われます。3文字以上を含む各文字セットがパスワード内で検索されます。その文字セットがパスワード内に存在する場合、パスワード変更は拒否されます。たとえば、名前John Richard-Doeは、John、Richard、Doeの3つの文字セットに分割されます。このユーザーは、パスワードのどこかにJohn、Richard、Doeのいずれかの連続した3文字が含まれるパスワードは使用できません。しかし、パスワードには部分文字列d-Dを含めることができます。これは、ハイフン(-)が部分文字列RichardとDoeの間のデリミタとして扱われるためです。また、パスワード内の文字セットの検索では、大文字小文字は区別されません。

注意:

ユーザーのフル・ネームの長さが3文字未満の場合、パスワードが拒否される確率が高すぎるため、パスワードはフル・ネームと照合されません。

カスタム・ポリシー

カスタム・ポリシーオプションを選択すると、表14-2に示すフィールドを使用してカスタム・パスワード・ポリシーを設定できます。

表14-2 カスタム・パスワード・ポリシーを設定するためのポリシー・ルール・タブのフィールド

フィールド名	説明
最大長	パスワードに含めることができる最大文字数たとえば、最大長フィールドに8を入力した場合、9文字以上のパスワードは使用できません。このフィールドには1 - 999の値を入力できます。
最大限の繰返し文字数	パスワードで文字を繰り返すことができる最大回数。たとえば、最大限の繰返し文字数フィールドに2を入力した場合、文字が3回以上繰り返されているパスワードは使用できません。たとえば、`RL112211`は、文字`1`が3回繰り返されているため、有効なパスワードではありません。注意: この例では、文字`1`は4つあり、3回繰り返されていることになります。このフィールドには1 - 999の値を入力できます。
最小限の数字数	パスワードに含める必要がある最小限の数字の数。たとえば、最小限の数字数フィールドに1を入力した場合、パスワードには少なくとも1つの数字が含まれる必要があります。このフィールドには0 - 999の値を入力できます。
最小限の英数字数	パスワードに含める必要がある文字または数字の最小数。たとえば、最小限の英数字数フィールドに6を入力した場合、パスワードには少なくとも6つの文字または数字が含まれる必要があります。このフィールドには0 - 999の値を入力できます。
最小限のユニーク文字数	パスワードに含める必要がある、繰り返されない文字の最小数。たとえば、最小限のユニーク文字数フィールドに1を入力した場合、パスワード内の少なくとも1つの文字が繰り返されていなければパスワードは受け入れられます。たとえば、`1a23321`では、文字`a`が繰り返されていないため、他の文字が繰り返されていても有効なパスワードです。このフィールドには0 - 999の値を入力できます。
最小限の英字数	パスワードに含める必要がある最小限の文字数。たとえば、最小限の英字数フィールドに2を入力した場合、2文字未満のパスワードは使用できません。このフィールドには0 - 999の値を入力できます。
特殊文字: 最小数	パスワードに含める必要がある英数字以外の文字(#、%、&など)の最小数。たとえば、特殊文字: 最小数フィールドに1を入力した場合、パスワードには英数字以外の文字が少なくとも1つ含まれる必要があります。このフィールドには0 - 999の値を入力できます。
特殊文字: 最大数	パスワードに含めることができる英数字以外の文字の最大数。たとえば、特殊文字: 最大数フィールドに3を入力した場合、英数字以外の文字が4つ以上含まれるパスワードは使用できません。このフィールドには1 - 999の値を入力できます。
最小限の大文字数	パスワードに含める必要がある大文字の最小数。たとえば、最小限の大文字数フィールドに8を入力した場合、大文字が8文字未満のパスワードは使用できません。このフィールドには0 - 999の値を入力できます。
最小限の小文字数	パスワードに含める必要がある小文字の最小数。たとえば、最小限の小文字数フィールドに8を入力した場合、小文字が8文字未満のパスワードは使用できません。このフィールドには0 - 999の値を入力できます。
Unicode文字: 最小数	パスワードに含める必要があるUnicode文字の最小数。たとえば、Unicode文字: 最小数フィールドに3を入力した場合、Unicode文字が3文字未満のパスワードは使用できません。このフィールドには0 - 999の値を入力できます。
Unicode文字: 最大数	パスワードに含めることができるUnicode文字の最大数。たとえば、Unicode文字: 最大数フィールドに8を入力した場合、Unicode文字が9文字以上のパスワードは使用できません。このフィールドには1 - 999の値を入力できます。
必須の文字	パスワードに含める必要がある文字。たとえば、必須の文字フィールドにxを入力した場合、文字xを含むパスワードのみ使用できます。必須の文字フィールドに指定する文字は、許可される文字フィールドで指定する必要があります。また、2文字以上を指定する場合は、デリミタを付けないでください。このフィールドではカンマとスペースも文字として解釈されます。たとえば、「a,x,c」などの文字を指定した場合、カンマを含まないパスワードは使用できません。
許可されない文字	パスワードに含めてはならない文字。たとえば、許可されない文字フィールドに感嘆符(!)を入力した場合、感嘆符を含むパスワードは使用できません。
許可される文字	パスワードに含めることができる文字。たとえば、許可される文字フィールドにパーセント記号(%)を入力した場合、他の基準をすべて満たしていれば、パーセント記号を含むパスワードを使用できます。注意: パスワードに文字が含まれており、その文字が許可される文字フィールドにない場合、パスワードは拒否されます。たとえば、許可される文字フィールドでabcが指定されており、パスワードがdadの場合、dは許可される文字フィールドにないため、このパスワードは拒否されます。許可される文字フィールドと許可されない文字フィールドに同じ文字を指定すると、パスワード・ポリシーの作成時にエラー・メッセージが返されます。
許可されない部分文字列	パスワードに含めてはならない英数字の連続文字列。たとえば、許可されない部分文字列フィールドにIBMを入力した場合、文字I、B、Mの順に連続して含まれるパスワードは使用できません。
英字で開始	パスワードの先頭が文字かどうか。たとえば、このオプションを選択した場合、パスワード123welcomeは、先頭が文字でないため使用できません。
ユーザーIDを許可しない	このチェック・ボックスは、パスワードの全部または一部としてユーザーIDを使用できるかどうかを指定します。このチェック・ボックスを選択した場合、「パスワードフィールドにユーザーIDが入力されると、パスワードは無効になります。また、パスワードフィールドにパスワードの一部としてユーザーIDが入力されると、パスワードは無効になります。このチェック・ボックスの選択を解除した場合は、ユーザーIDが含まれているパスワードを使用できます。
ファースト・ネームを許可しない	このチェック・ボックスは、パスワードの全部または一部としてユーザーのファースト・ネームを使用できるかどうかを指定します。このチェック・ボックスを選択した場合、「パスワードフィールドにユーザーのファースト・ネームが入力されると、パスワードは無効になります。また、ユーザーのファースト・ネームがパスワードの一部として入力されると、パスワードは無効になります。このチェック・ボックスの選択を解除した場合は、ユーザーのファースト・ネームが含まれているパスワードを使用できます。
ラスト・ネームを許可しない	このチェック・ボックスは、パスワードの全部または一部としてユーザーのラスト・ネームを使用できるかどうかを指定します。このチェック・ボックスを選択した場合は、パスワードフィールドにユーザーのラスト・ネームが入力されると、パスワードは無効になります。また、ユーザーのラスト・ネームがパスワードの一部として入力されると、パスワードは無効になります。このチェック・ボックスの選択を解除した場合は、ユーザーのラスト・ネームが含まれているパスワードを使用できます。
パスワード・ファイル	パスワードとして許可されない事前定義済の用語が含まれるファイルのパスと名前。注意: ポリシー・ルールタブの設定がパスワード・ファイルの指定と異なる場合、Oracle Identity Managerではポリシー・ルールタブの設定が使用されます。
パスワード・ファイル・デリミタ	パスワード・ファイル内で用語を区切るために使用されるデリミタ文字。たとえば、パスワード・ファイル・デリミタフィールドにカンマ(,)を入力した場合、パスワード・ファイル内の用語はカンマで区切られます。

いずれかのパスワードフィールドを使用してプロセス・フォームをリソースにアタッチできます。リソースに対して入力されたパスワードは、そのリソースに関連付けられているパスワード・ポリシーと照合されます。

14.1.2 使用状況タブ

このタブは、現在のパスワード・ポリシーに関連付けられているルールおよびリソース・オブジェクトを表示するために使用します。

図14-2は、パスワード・ポリシー・フォームの使用状況タブを示しています。この例では、ルールはSolarisパスワード・ポリシー用に定義されています。

図14-2 パスワード・ポリシー・フォームの使用状況タブ

「図14-2 パスワード・ポリシー・フォームの使用状況タブ」の説明

14.2 パスワード・ポリシーの基準の設定

いずれかのパスワードフィールドを使用してプロセス・フォームをリソースにアタッチできます。パスワード・ポリシーを同じリソースに適用し、そのリソースに対してアクセス・ポリシーを作成する場合は、プロセス・フォームにユーザーが入力したパスワードは、パスワード・ポリシー・ルールと照合されません。これは、リソースがユーザーにプロビジョニングされるとき、リソースに適用されるパスワード・ポリシー・ルールと照合されるパスワードをユーザーが指定する必要があるためです。

パスワード・ポリシーの基準の設定手順

必要なパスワード・ポリシー定義を開きます。
ポリシー・ルールタブをクリックします。
該当するフィールドに情報を入力するか、必要なチェック・ボックスを選択します。
保存をクリックします。