20 パスワード・ポリシーの管理
この章では、次の各項でパスワード・ポリシー管理について説明します。
20.1 パスワード・ポリシーについて
Oracle Identity Managerは、Oracle Identity ManagerとOracle Access Manager (OAM)の間に共通パスワード・ポリシー管理フレームワークを提供しています。チャレンジ・ポリシーの概念も導入され、チャレンジ質問をシステム定義とエンドユーザー定義のどちらにするか(または両方の組合せにするか)を指定できます。
組織管理者はパスワード・ポリシーを組織に関連付けることができます。組織管理者は、システム管理者によって作成されたパスワード・ポリシーから関連するパスワード・ポリシーを選択できます。組織に設定されたパスワード・ポリシーは、その組織とすべての下位組織に適用されます。下位組織レベルの管理者が、その組織に別のパスワード・ポリシーを設定すると、親組織のパスワード・ポリシーが新しいポリシーでオーバーライドされ、この組織のすべての下位組織に新しいポリシーが適用されます。ユーザーが複数の組織のメンバーである場合、そのユーザーのパスワード・ポリシーは、ホーム組織とホーム組織階層に応じて異なります。
また、ユーザーが複数の組織のメンバーである場合、そのユーザーに適用されるパスワード・ポリシーはパスワード・ポリシーの優先度で決まります。組織が階層内にある場合は、親組織に関連付けられたパスワード・ポリシーの方が優先度が高い場合にも、ユーザーに最も近い組織のパスワード・ポリシーが適用されます。ユーザーの作成時に、Oracle Identity Managerは最上位の組織にアタッチされたデフォルトのパスワード・ポリシーに対して手動で指定された、または自動生成されたパスワードを検証します。ユーザーが最初にログインしてパスワードを変更する場合、ユーザーの組織に適用される優先度が最も高いパスワード・ポリシーが適用されます。
20.2 パスワード・ポリシーの検索
「パスワード・ポリシー」ページを使用して、パスワード・ポリシーの単純検索および拡張検索を実行します。
パスワード・ポリシーを検索するには、次のいずれかを実行できます。
20.2.1 パスワード・ポリシーの基本検索の実行
パスワード・ポリシーを検索するには:
- Identity Self Serviceにログインします。
- 「管理」をクリックします。マウス・ポインタを「ポリシー」ボックスの上に置き、「パスワード・ポリシー」をクリックします。「パスワード・ポリシー」ページが表示されます。
- 「ポリシー名」フィールドに、検索するポリシー名を入力します。
- 「検索」をクリックします。検索条件のポリシー名に一致するパスワード・ポリシーが表示されます。
20.2.2 パスワード・ポリシーの拡張検索の実行
拡張検索を実行するには:
-
Identity Self Serviceにログインします。
-
「管理」をクリックします。マウス・ポインタを「ポリシー」ボックスの上に置き、「パスワード・ポリシー」をクリックします。「パスワード・ポリシー」ページが表示されます。
-
「拡張」リンクをクリックします。拡張パスワード・ポリシー検索ページが表示されます。
-
検索コンパレータを選択します。デフォルトの検索コンパレータは「次で始まる」です。他のオプションには、「次と等しい」、「次で終わる」、「次と等しくない」および「次を含む」があります。
ワイルドカード文字を使用して、パスワード・ポリシー名を指定できます。
-
検索するフィールドを追加するには:
-
「フィールドの追加」をクリックし、ポリシー名を選択します。
-
追加した検索属性の値を入力します。
このオプションは、Testで始まるポリシー名やUserで終わるポリシー名など複雑な条件を作成する場合に便利です。この場合、2つのフィールドを含める必要があります。
検索に追加したフィールドを削除するには、フィールドの横にある十字アイコンをクリックします。
-
-
検索要素リストを並べ替えるには、「並替え」をクリックします。「検索フィールドの並替え」タブが開きます。並べ替える必要がある検索要素を選択して、矢印キーを使用して並べ替えます。「OK」をクリックします。
検索要素がリストされる順序が適宜変更されます。
-
「検索」をクリックします。結果は検索結果表に表示されます。
20.3 パスワード・ポリシーの作成
パスワード・ポリシーを作成にするには、パスワードの制限の設定、チャレンジ質問の制限、およびパスワード・ポリシーに関連付けられるルールが必要になります。
パスワード・ポリシーの作成によって可能なことは、次のとおりです。
-
パスワードの制限の設定、たとえばパスワードの最小長と最大長の定義など
-
チャレンジ質問の制限の設定
-
パスワード・ポリシーに関連付けられているルールの参照
ノート:
LDAP同期が有効になっている環境の場合、次のいずれかにする必要があります。
-
Oracle Identity Managerに設定されているパスワード・ポリシーは、LDAPサーバーに設定されているパスワード・ポリシーよりも厳格にする必要があります。
-
Oracle Identity Managerに設定されているパスワード・ポリシーは、LDAPサーバーに設定されているパスワード・ポリシーに一致する必要があります。
パスワード・ポリシーを作成するには:
ノート:
パスワード・ポリシーは、信頼できるソース・リコンシリエーションによるOracle Identity Managerユーザーの作成時には適用されません。
20.4 パスワード・ポリシー・ルールの理解
パスワード・ポリシー・ルールを設定するには、パスワード・ポリシーの詳細ページにある「ポリシー・ルール」セクションで、パスワード・ポリシーの条件を指定する必要があります。
この項では、次の各トピックでパスワード・ポリシー・ルールについて説明します。
20.4.1 パスワード・ポリシー・ルール
パスワード・ポリシー・ルールを設定する場合は、パスワードの最小長と最大長など、パスワード・ポリシーの基準を指定する必要があります。
パスワードの制限を設定するには、次のいずれか(または両方)の方法を使用できます。
-
適切なフィールドに情報を入力するか、必要なチェック・ボックスを選択します。たとえば、パスワードの最小長を4文字にする必要があることを指定するには、「最小長」フィールドに4を入力します。
-
「パスワード・ファイル」フィールドに、パスワード・ポリシー・ファイルのディレクトリ・パスと名前(たとえば、c:\Xellerate\userlimits.txt)を入力します。このファイルには、パスワードとしての使用を避ける必要がある事前定義済の単語が含まれます。これらの単語は、「ファイル・デリミタ」フィールドで指定したデリミタによって区切られます。ファイル内の事前定義済の単語はパスワードとして使用できません。たとえば、このファイルにwelcomeという単語が含まれている場合、welcome、Welcomeおよびwelcome123は無効なパスワードになります。
20.4.2 パスワード・ポリシー・ルールの設定
パスワード・ポリシーにルールを設定するには:
ノート:
パスワード・ポリシーの作成後、ポリシーを組織に関連付ける必要があります。ポリシーのルールがその組織のユーザーと下位組織に適用されます。詳細は、「パスワード・ポリシーの評価」を参照してください。
20.5 パスワード・ポリシーの評価
Oracle Identity Managerは、ユーザーがOracle Identity Managerに登録されたとき、またはユーザーが忘れたパスワードをリセットしたときに、ユーザーに適用可能なパスワード・ポリシーを評価します。
Oracle Identity Managerでは、次のようなシナリオでパスワード・ポリシーが評価されます。
-
ユーザーがOracle Identity Managerに自分自身を登録して、Identity Self ServiceまたはOracle Identity System Administrationの特定のタスクを実行する場合。
-
ユーザーが「パスワードを忘れた場合」リンクを使用してパスワードをリセットする場合。
-
ユーザーが「本人情報」ページの「パスワードの変更」セクションから、エンタープライズ・パスワードまたはターゲット・システム・アカウントのパスワードを変更する場合。
-
管理者がユーザーのパスワードを手動で設定または変更する場合。
次に、ユーザーの有効なパスワード・ポリシーが評価される順序を示します。
-
ユーザーのホーム組織に設定されているパスワード・ポリシー(ある場合)は、ユーザーに適用されます。
-
パスワード・ポリシーがユーザーのホーム組織に設定されていない場合は、ユーザーのホーム組織の組織階層の次のレベルの組織のポリシーが選択されます。パスワード・ポリシーに関連付けられた組織が決定されるまで、ユーザーのホーム組織の階層の次のレベルの組織を識別するこの手順は繰り返されます。このパスワード・ポリシーはユーザーに適用されます。
-
階層のどの組織にもパスワード・ポリシーが設定されていない場合は、最上位組織に付加されたパスワード・ポリシーが適用されます。最上位組織に付加されたパスワード・ポリシーがない場合には、XellerateUsersリソースのデフォルト・パスワード・ポリシーが適用されます。
20.6 チャレンジ・オプションの設定
Oracle Identity Managerを使用すると、管理者は忘れたパスワードをリセットする前に、ユーザーに表示されるチャレンジ質問のセットを構成して、ユーザーのIDを検証できます。
パスワード・ポリシーのチャレンジ質問オプションを設定するには:
-
「パスワード・ポリシー」ページで、開くパスワード・ポリシーを検索し、選択します。
-
「アクション」メニューから「開く」を選択します。または、ツールバーにある「開く」をクリックします。パスワード・ポリシーの詳細ページが表示されます。
ノート:
パスワード・ポリシーの作成時にチャレンジ・オプションを設定することもできます。
-
「チャレンジ・オプション」セクションで、「チャレンジ・ポリシーのサポートの有効化」が有効な場合、表20-3に示すフィールドを構成できます。
表20-3 「チャレンジ・オプション」セクションのフィールド
フィールド名 説明 許可されているチャレンジ
このフィールドでは、ユーザーに表示するチャレンジ質問のセットを選択できます。オプションは、「ユーザー定義」、「管理者が定義されました」または「ユーザーまたは管理者が定義されました」です。
「ユーザー定義」が選択される場合、チャレンジ質問がユーザーによって設定されます。
「管理者が定義されました」が選択される場合、チャレンジ質問が管理者によって提供されたリストから選択されます。
「ユーザー」または「管理者が定義されました」が選択される場合、質問の組合せが定義された管理者とカスタマイズされたユーザーです。
収集される質問合計
これにより、ユーザーがログイン時に入力する必要があるチャレンジ質問の合計数が決定されます。
チャレンジ時の最小正答数
ユーザーがチャレンジ質問を求められた場合に提供する必要がある最小正答数。
重複レスポンスの許可
これにより、重複レスポンスを許可するかどうかを選択できます。
最小回答長
チャレンジ質問の回答の最小長。
試行後にユーザーをロック
ユーザーがチャレンジ質問に間違った回答を入力した場合にユーザーをロックするまでの試行数。
-
「許可されているチャレンジ」が「管理者が定義されました」または「ユーザーまたは管理者が定義されました」に設定されている場合、チャレンジ質問を追加する必要があります。チャレンジ質問の数は、「収集される合計質問数」フィールドによって決定されます。
質問を追加するには:
-
「チャレンジ質問」セクションで、「追加」をクリックします。
-
「質問」表にチャレンジ質問を入力します。追加の質問を含めるには、「追加」をクリックします。
-
質問を削除するには、質問を選択して「削除」をクリックします。
ノート:
チャレンジ質問をカスタマイズした場合は、IDM_HOME/server/customResources/ディレクトリのcustomResources
プロパティを変更して、ローカル・メッセージを追加します。 -
-
「適用」をクリックして、パスワード・ポリシーの変更を保存します。
20.7 パスワード・ポリシーの削除
不要または使用されていないパスワード・ポリシーを削除します。
パスワード・ポリシーを削除するには:
- 「パスワード・ポリシー」ページで、削除するパスワード・ポリシーを検索し、選択します。
- 「アクション」メニューから「削除」を選択します。または、ツールバーにある「削除」をクリックします。確認を求めるメッセージが表示されます。
- 「はい」をクリックし、削除を確定します。
20.8 パスワード・ポリシーと組織の関連付け
パスワード・ポリシーを組織に関連付け、パスワード・ポリシーを使用してOracle Identity Managerユーザーのパスワードを管理するには、「組織の作成」を参照してください。
パスワード・ポリシーをリソースに関連付けるには、Oracle Identity Governanceの管理のアプリケーション・インスタンス用のパスワード・ポリシーの構成に関する項を参照してください。