パスワードポリシー設定では、Gluegent Gate で管理する全てのユーザーに対し、パスワードに指定できる最小文字数や、定期的なパスワード変更の要求など、パスワードに関するルールを決定します。
各種設定項目
各種設定項目は以下の通り
強度設定
- 文字数（必須）
- パスワードに設定できる最低文字数と最大文字数を入力します。最小文字数は 4 以下は入力できません。
初期値：最小文字数 8 / 最大文字数 20
- 使用可能文字
-
パスワードとして使用可能な文字種を選択します。
制限無し
パスワードに使用できる文字の種類を制限しません。英字、数字のみで構成
パスワードには英字、数字のみが使用可能です。例：
gluegent / gluegent123 / 12345678 → OK
glue-gent / gluegent*123 → NG英字、数字と次の記号のみで構成
パスワードには英字、数字、及び入力欄に指定された記号のみが使用可能です。
初期値：!@#$%&*+:?;/.,=-指定できる記号は、バックスラッシュ(\)、ダブルクォーテション(")を除く、半角記号のみです。
例：
記号に ハイフン(-)とアスタリスク(*)を指定した場合
gluegent / gluegent123 / 12345678 / glue-gent / gluegent*123 → OK正規表現を使用する
上記 3 パターン以外のポリシーとしたい場合、正規表現を使用することも可能です。3 つまで正規表現を指定でき、3 つともマッチしなければ NG となります。例：
(1) [a-zA-Z] (2) [!-@] (3) <空欄>
[!-@] は !"#$%&'()*+,-./0123456789:;<=>?@ が使えることを表します。
このように設定した正規表現は、小文字もしくは大文字の英字を含み、かつ数字もしくは記号を含む値にマッチします。
glue1234 / 1234Glue / glue-@<> → OK
12345678 / -@<>1234 → NG
-
強制文字
-
パスワードに必ず使用しなければいけない文字種、数を選択します。
「英大文字」「英小文字」「数字」「指定された記号」のうち必要なものをチェックし、「全てを含む」「1 種類以上含む」「2 種類以上含む」「3 種類以上含む」を選択してください。
「英大文字」「英小文字」「数字」「指定された記号」のすべてのチェックがオフの場合は、強制文字のチェックは行われません。
-
使用禁止属性
-
チェックをオンにすると登録されたユーザー情報と同じ内容をパスワードとして使用できません。
例えば、「ユーザー ID」のチェックがオンの時、パスワードにユーザー ID と同じ値は使用できません。
-
パスワード強度チェック
-
パスワードの強度チェックの有無及び強度チェック時の挙動を選択します。
チェックしない
推測しやすいパスワードも使用可能です。例：
password → OK警告
推測しやすいパスワードも使用可能ですが、パスワード変更画面に警告メッセージが表示されます。
※管理者によるパスワード変更時は警告メッセージは表示されません。パスワードの変更も行われます。変更拒否
推測されやすいパスワードを入力すると警告メッセージが表示され、パスワードを変更できません。
パスワード強度チェックについては、外部のパスワード強度チェックのライブラリを使用しております。このライブラリを使用した一般的な強度確認を行っております。具体的には下記の通りです。- 短すぎるパスワード
- 単純または規則性があり容易に想像できるパスワード(123456abcなど)
- 辞書に載っている単語のみのパスワード(逆順含む)(mountain、niatnuomなど)
- 異なる文字が不十分なパスワード(01010011など)
- 空白だけのパスワード
- 国民保険の番号のようなパスワード
変更設定
-
パスワード世代管理数
-
パスワード変更時にここで指定した世代分、過去に使用したパスワードを使用できなくします。例えば「1」をセットすると、前回使っていたパスワードはセットできなくなります。
「0」で無制限となります。最大値は「99」です。
-
初期パスワードの変更
-
チェックをオンにすると、ユーザー新規作成時及び管理者によるパスワード変更を受けたユーザーは、次のログイン時に強制的にパスワード変更画面に遷移します。
-
パスワード有効期間（日）
-
ユーザーが新規作成、および最後にパスワードが変更されてから、ここで指定した日数を経過すると、そのパスワードは期限切れとなり、ログイン時に強制的にパスワード変更画面に遷移します。「0」で無期限となります。最大値は「999」です。
情報：
パスワード期限のカウントダウンはユーザー作成時より始まり、パスワード変更によりリセットされます。
（カウントダウンのリセットは、初期パスワードでのログイン時のパスワード変更も含みます）
-
パスワード期限警告時間（日）
-
ユーザーが新規作成、および最後にパスワードが変更されてから、ここで指定した日数を経過するとユーザーの通知用メールアドレスまたはメールアドレス宛てにメール通知されます。
「0」で無期限となります。「パスワード有効期間（日）」より少ない値を入力してください。「追加」をクリックすることで、複数登録できます。
情報：
パスワード期限のカウントダウンはユーザー作成時より始まり、パスワード変更によりリセットされます。
（カウントダウンのリセットは、初期パスワードでのログイン時のパスワード変更も含みます）
メールテンプレート設定にて、パスワード期限警告のテンプレートがカスタマイズされていた場合は、その文面でユーザーの通知用メールアドレスまたはメールアドレス宛てにメール通知されます。
（パスワード期限警告のテンプレートがカスタマイズされていなかった場合はデフォルトの警告メッセージが通知されます）
-
パスワード再設定受付期間（日）
-
パスワードの有効期限が切れた時の動作を設定します。
パスワードの再設定に制限を掛けない
パスワードの有効期限が切れても制限を掛けず、常に再設定が可能にします。有効期限切れの後、ログイン不可にする
パスワードの有効期限が切れた時点でログインができなくなります。ログイン時に「パスワードの有効期限が切れています。ログインすることができません」というメッセージが表示され、ログインできません。パスワードの再設定可能期間を指定
パスワードの有効期限が切れた後、指定した日数を過ぎるまでパスワード変更が行なえます。過ぎるとパスワードの変更、ログインが行えなくなります。最大値は「999」です。
-
パスワード変更禁止期間（日）
-
最後にパスワード変更してから、ここで指定した期間はパスワード変更できません。
パスワード有効期間より少ない値を入力してください。(管理画面での変更時を除く)
注意：パスワード変更禁止期間内であっても、管理者によるパスワード変更は行えます。
また管理者によって変更されたパスワードは、パスワード変更禁止期間内であってもユーザー自身で変更可能です。
（ユーザー自身でパスワード変更した時点で、再びパスワード変更できるようなるまでのカウントダウンが開始されます）
ただし、ユーザーがパスワード変更後は期間内の管理者による変更は行えません。
アカウントロック設定
-
パスワード認証の失敗最大回数
-
パスワード認証の失敗を許容する回数を指定します。指定した回数を超えてログインに失敗すると、アカウントがロックアウトされ、ログインができなくなります。
「0」で機能が無効となります。最大値は「99」です。
例：
「3」を指定した場合、3 回連続してログインに失敗すると、 4 回目の失敗でアカウントがロックアウトされます。
-
パスワード認証失敗回数のリセット時間（秒）
-
「パスワード認証の失敗最大回数」のカウントをリセットする時間を指定します。
「0」で無期限となります。最大値は「9999」です。
-
アカウントロックアウトの解除時間（分）
-
「パスワード認証の失敗最大回数」によってアカウントがロックされた場合に、自動でロックが解除されるまでの時間を指定します。
「0」でロックアウト解除の機能が無効になります。この場合一旦ロックアウトされたアカウントで再びログインするには、管理者によってロックアウトを解除する必要があります。最大値は「9999」です。
アカウント制御設定
-
最終ログインからの経過日数による制御
-
最終ログインからの経過日数により警告やユーザーのステータスを変更します。
削除
指定日数経過後にユーザーを削除します。「0」で機能が無効となります。最大値は「99」です。停止
指定日数経過後にユーザーを停止状態にします。「0」で機能が無効となります。「削除」より小さい値を指定してください。警告
指定日数経過後にユーザーの通知用メールアドレス宛に警告メールを送付します。複数日設定する場合は「追加」をクリックします。「0」で機能が無効となります。「停止」より小さい値を指定してください。（「削除」「停止」が「0」の場合はその限りではありません）この設定は特権管理者/ユーザー管理者も対象となります。https://auth.gluegent.net/seciossadmin からの管理画面へのログインはここでいう「ログイン」には含まれません。
https://auth.gluegent.net/tenantadmin からの管理画面へのログインは「ログイン」に含まれます。→パスワードポリシー設定 - 「最終ログインから経過日数による制御」を設定するときの注意事項
アカウント停止警告・停止・削除のメールは 7:30 に指定期間ログインしていないユーザーのチェックを行い、該当ユーザー宛に送付されます。
パスワード有効期間などを後から設定した場合の挙動
パスワード有効期間（日）を導入当初「0」(無期限）に設定しておき、後日任意の値に設定した場合は、ユーザーの新規登録やパスワード変更した日からカウントされます。例えば、30 を設定した場合、ユーザー作成やパスワード変更から 30 日経過後にパスワード変更が強制されます。そのため、ユーザー作成やパスワード変更から 20 日経ったユーザーは 10 日後にパスワード変更が必要となり、ユーザー作成やパスワード変更から 40 日経ったユーザーは有効期限設定後に初めてログインした時にパスワード変更が必要となります。
パスワード期限警告時間（日）も同様です。1 つのみ設定した場合は、ユーザー作成やパスワード変更からカウントし、設定された日数を超えていたら通知されます。複数設定している場合は、一番遅い（パスワード有効期限に近い）設定の期限を超えていたら通知されます。まだ超えていない設定が存在する場合は、そこを超えるまで通知されません。
使用禁止属性の適用条件
「使用禁止属性」でチェックした項目ごとに適用となる条件が異なります。
- ユーザーID
- ローカルパート（@の前）が完全一致
- 社員番号
- 氏名
- 別名
- 完全一致 または 任意の連続した 4 文字が一致
- メールアドレス
- ローカルパート（@の前）が完全一致
- または ローカルパートの任意の連続した 4 文字が一致
- 通知用メールアドレス
- ローカルパートの任意の連続した 4 文字が一致
- 電話番号
- FAX
- 携帯電話番号
- 自宅電話番号
- 半角スペース、ハイフン(-)、プラス(+)、シャープ(#)、アスタリスク(*)を除外したパターンが完全一致
- または 上記を除外しないパターンが完全一致
- または 任意の連続した 4 文字が一致