ユーザアカウントの保護

以下の節では、ユーザアカウントを保護する方法とユーザアカウントのロックを解除する方法について説明します。

WebLogic Server ドメイン内のリソースにアクセスするためのパスワードを保護することは重要です。ユーザ名とパスワードは以前、WebLogic セキュリティレルムにクリアテキストで保存されていました。現在、WebLogic Server ドメイン内のすべてのパスワードはハッシュ化されます。 SerializedSystemIni.dat ファイルには、パスワード用のハッシュが入っています。このファイルは特定の WebLogic Server ドメインに関連付けられているので、ドメイン間で移動することはできません。

SerializedSystemIni.dat ファイルが破損した場合は、WebLogic Server ドメインを再コンフィグレーションしなければなりません。したがって、以下の予防措置をとってください。

WebLogic Server には、ユーザアカウントを侵入者から保護するための属性セットが定義されています。デフォルトセキュリティコンフィグレーションでは、これらの属性は最高の保護レベルに設定されています。新しいセキュリティレルムを作成する場合は、これらの属性を定義する必要があります。

システム管理者は、すべての属性を無効にしたり、アカウントがロックされるまでの無効なログイン試行回数を増やしたり、ユーザアカウントがロックされるまでの無効なログイン試行期間を延ばしたり、ユーザアカウントのロック時間を変更したりできます。これらの属性を変更すると、セキュリティレベルが低下して攻撃を受けやすくなることに注意してください。

ユーザロックアウトの属性を設定するには、次の手順に従います。

次の表では、[ユーザロックアウト] タブの各属性について説明します。

表7-1 ユーザロックアウトの属性

属性	説明
[ロックアウト有効化]	ユーザアカウントへの無効なログインが指定された [ロックアウトしきい値] を超えたときにそのユーザアカウントのロックを要求する。デフォルトで、この属性は有効。
[ロックアウトしきい値]	アカウントがロックされるまでに許容されるユーザパスワードの入力回数。この回数を超えてログインを試みると、(ユーザ名/パスワードの組み合わせが正しい場合でも) セキュリティ例外が発生して、アカウントがロックアウトされる。システム管理者が明示的にロックを解除するか、またはロックアウト遅延時間が終了するまで、アカウントはロックアウトされたままとなる。ただし、無効なログインが [ロックアウトリセット遅延] 属性で定義された時間内に繰り返された場合。デフォルトでは 5。
[ロックアウト遅延]	[ロックアウトリセット遅延] 属性で定義された時間内に無効なログインが一定回数以上繰り返されたためにユーザアカウントがロックされた後、ユーザアカウントにアクセスできるようになるまでの時間 (分単位)。デフォルトでは 30 分。
[ロックアウトリセット遅延]	ここで指定した分単位の時間内に一定回数以上の無効なログインが試みられた場合に、ユーザのアカウントをロックする。 Lockout Threshold 属性に定義された無効なログインの試行回数が、この属性で定義された時間内に行われた場合、アカウントはロックされる。たとえば、[ロックアウトリセット遅延] の値が 5 分、[ロックアウト遅延] の値が 3 で、6 分間に 3 回の無効なログインが試行された場合、アカウントはロックされない。しかし、5 分以内に 5 回の無効なログインが繰り返された場合、アカウントはロックされる。デフォルトでは 5 分。
[ロックアウトキャッシュサイズ]	試行しなかったログインと試行した無効なログインのキャッシュサイズを指定する。デフォルトでは 5。
[ロックアウト GC しきい値]	サーバがメモリ内に保存する無効ログインレコードの最大数。現在の無効ログインレコードの数がこの属性値と同じかそれを超過すると、期限切れとなったレコードがサーバのガベージコレクションによって削除される。レコードは、それに関連付けられているユーザがロックアウトされたときに期限切れとなる。デフォルトは 400 レコード。

注意: [ユーザロックアウト] 属性は、セキュリティレルムとそのすべてのセキュリティプロバイダに適用されます。ユーザアカウントを保護する独自のメカニズムを備えた認証プロバイダを使用する場合は、[ロックアウト有効化] 属性を無効化します。