26.5 パスワードセルフサービス
このセクションでは、パスワードセルフ サービスの設定と管理について説明します。
26.5.3 パスワード忘れの管理
次のセクションでは、iManagerを使用して「パスワード忘れ」(パスワードを忘れた場合の機能)を管理する方法について説明します。
Identity Managerユーザアプリケーションを使用してパスワード忘れを管理する方法については、『NetIQ Identity Manager 4.5 Password Management Guide』の「Password Management Configuration」を参照してください。
パスワード忘れ機能の有効化
ユーザがパスワードを忘れた場合にヘルプデスクに連絡せずに回復できるようにするには、パスワード忘れ機能を有効にします。次の図に示すように、パスワードポリシーウィザードを使用してパスワードポリシーを作成するときに、このオプションが表示されます。パスワードポリシーウィザードの詳細については、パスワードポリシーウィザードの使用中に秘密の質問を作成するには、次の手順を実行します。を参照してください。
図 26-6 パスワードを忘れた場合の処理を有効にする
また、次のようにして既存のパスワードポリシーでパスワード忘れ機能を有効にすることもできます。
-
iManagerで、［］>［］の順にクリックします。
-
ポリシーの名前をクリックします。
-
［］タブをクリックします。
-
［］を選択し、秘密の質問を選択または作成し、アクションを指定し、［］オプションを選択して、［］をクリックします。
秘密の質問の作成または編集
秘密の質問とは本人確認のためにユーザが答える質問のセットであり、ユーザがパスワードを使用せずに自分の識別情報を答えとして入力します。秘密の質問はパスワードポリシーに割り当てられ、パスワードポリシーの認証方式の一部として使用されます。これらの秘密の質問に対するユーザの答えでは、大文字小文字が区別されます。
ユーザ向けの「パスワード忘れ」セルフサービス機能の一部として、秘密の質問を使用することができます。忘れたパスワードを受け取る前に秘密の質問に答えるようユーザに要求することで、セキュリティのレベルが追加されます。
パスワードポリシーを作成するときに「パスワード忘れ」セルフサービスを有効にすると、ユーザはヘルプデスクに電話しなくても支援を受けることできます。セルフサービスの安全性を高めるには、秘密の質問を作成して、パスワード忘れの支援をユーザが利用する前に必ず秘密の質問に答えるように指定できます。また、ユーザが質問に答えた後に実行する支援動作(たとえばパスワードのヒントを表示するなど)も指定します。これらのセルフサービス機能は、iManagerを通してユーザに提供されます。選択肢については、パスワードを忘れた場合のアクションの選択の説明をブラウズしてください。
秘密の質問を作成するには、次の手順に従います。
-
iManagerで［］>［］をクリックします。
-
［］をクリックします。
-
［］フィールドに名前を入力し、秘密の質問が作成されるコンテナを選択して、秘密の質問を選択または作成します。
秘密の質問のデフォルトの質問を選択するには、該当するチェックボックスを選択します。
質問や、答えとして許可される(最小または最大)文字数を編集するには、質問をクリックします。
質問を作成してそれを秘密の質問に追加するには、［］をクリックします。
ﾕｰｻﾞ定義: このオプションを選択した場合、ユーザは独自の秘密の質問を作成できます。
NMASは、ユーザ定義の質問および答えをeDirectoryに格納します。
必須の質問: ユーザがパスワードセルフサービスを使用するときには、このリストに含まれる質問が常に表示されます。
ランダムな質問: ユーザが初めて秘密の質問に答えることによってパスワード忘れ機能をセットアップするとき、このリストの質問が一度だけ完全なセットとして表示されます。その後、パスワード忘れ機能を利用する必要が生じた場合には、質問セットの一部のみが提示され、ユーザはその質問に答えます。ランダムに表示される質問の数は、指定した数によって決まります。
-
をクリックします。
パスワードポリシーウィザードの使用中に秘密の質問を作成するには、次の手順を実行します。
-
iManagerで［］>［］>［］をクリックしてウィザードを起動します。
-
ステップ4で［］をクリックして、パスワード忘れ機能を有効にします。
-
ステップ5で［Require a Challenge Set］を選択して、［New challenge set］をクリックします。
既存の秘密の質問を使用するには、それをブラウズして選択します。
-
作成した秘密の質問が入るコンテナを指定します。［］ フィールドに名前を入力して、［］をクリックします。
-
必須またはランダムの秘密の質問を選択するか、作成します。
新しい質問を作成する必要がない場合は、既存の質問を選択してください。
ユーザが独自の質問を追加できるようにするには、［］を選択します。
新しい質問を作成するには、次の手順を実行します。
-
［］をクリックします。
-
［］を選択し、［］をクリックし、ドロップダウンメニューから言語を指定し、質問を入力して、［］をクリックします。
-
この質問が必須か、それともランダムかを指定します。
-
必要に応じて最小文字数と最大文字数を指定し、［］をクリックします。
-
-
ランダムな質問の数を指定して、［］をクリックします。
-
パスワードポリシーウィザードの残りのステップを完了します。
既存のパスワードポリシーで秘密の質問を作成するには、次の手順を実行します。
-
iManagerで、［］>［］の順にクリックします。
-
ポリシーの名前をクリックします。
-
［］タブをクリックします。
-
［］>［］を選択します。
-
既存の秘密の質問をブラウズして選択するか、新しい秘密の質問を作成してそれを選択します。
新しく作成するには、次の手順を実行します。
-
［］リンクをクリックします。
-
［Challenge Sets］ダイアログボックスで、［］をクリックします。
-
［Challenge Sets］ダイアログボックスで、秘密の質問に名前を付け、作成した秘密の質問が入るコンテナを指定し、必須またはランダムの質問を選択または追加して、ユーザに提示するランダム質問の数を指定します。
-
をクリックします。
-
パスワードを忘れた場合のアクションの選択
-
iManagerで、［］>［］の順にクリックします。
-
ポリシーの名前をクリックします。
-
［］タブをクリックします。
-
［］チェックボックスを選択します。
-
アクションを選択します。
-
ユーザがパスワードをリセットできるようにする: 秘密の質問に答えて自分を識別する情報を入力した後、ユーザは新しいパスワードに変更することを許可されます。ユーザは秘密の質問に答えることによってすでに認証されているため、古いパスワードを入力しなくてもパスワードを変更することができます。このオプションを使用するには、管理者が秘密の質問を要求する必要があります。さらに、ユーザが秘密の質問に答えることによってiManagerポータルでパスワード忘れ機能をすでにセットアップしている必要もあります。
-
現在のパスワードを電子メールでユーザに送信する: 秘密の質問に答えて自分を識別する情報を入力した後、ユーザは現在のパスワードを電子メールで受け取ります。このオプションを使用するには、次の操作をする必要があります。
-
ポリシーのユニバーサルパスワードを有効にします。これは［］の［］にあります。
-
［］オプションを有効にします(［］の下の［］)。
-
セクション 26.5.6, パスワードセルフサービスの電子メール通知の設定の説明に従って電子メール通知を設定します。
さらに、ユーザが秘密の質問にすでに答えることで、iManagerのパスワード忘れ機能をセットアップしていなければなりません。
-
-
ユーザにヒントを送信する: ユーザはパスワードのヒントを電子メールで受信します。このオプションを使用するには、セクション 26.5.6, パスワードセルフサービスの電子メール通知の設定の説明に従って電子メール通知をセットアップする必要があります。
さらに、ユーザがパスワードのヒントをすでに入力した結果として、iManagerのパスワード忘れ機能がセットアップ済みである必要もあります。
-
ヒントをページに表示: iManagerポータルで、パスワードのヒントがユーザに表示されます。このオプションを使用するには、ユーザがすでにパスワードのヒントを指定して、iManagerのパスワード忘れ機能をセットアップ済みである必要があります。
-
パスワードのヒント
パスワード忘れ機能のアクションとしてパスワードのヒントを要求するよう指定した場合、ユーザはパスワードを思い出すためのヒントを入力できます。
Password Hint(パスワードヒント)
パスワードヒント属性(nsimHint)はパブリックに読み込み可能です。これにより、認証を受けていない、パスワードを忘れたユーザは自分のヒントにアクセスできます。パスワードヒントを使用すると、ヘルプデスクへの問い合わせが非常に少なくなる可能性があります。
セキュリティのため、パスワードヒントにユーザの実際のパスワードが含まれていないかどうか検査されます。ただし、作成したパスワードヒントでユーザがパスワードに関する情報を多くの与えすぎてしまう可能性が依然としてあります。
パスワードヒントを使用する際のセキュリティを強化するには、以下を行います。
-
パスワードセルフサービスに使用されるnds-cluster-configサーバ上のnsimHint属性にのみアクセスを許可する。
-
自分だけが理解できるパスワードヒントを作成するようユーザに促す。パスワードポリシーの［パスワード変更メッセージ］は、これを実行する1つの方法です。詳細については、セクション 26.5.5, パスワード変更メッセージの追加を参照してください。
ヒントのセキュリティを確保する
セキュリティ保護されたヒント属性(nsimPasswordReminder)はパブリックに読み取り可能でないため、より安全です。この場合、ヒントが表示される前に、ユーザは秘密の質問に答える必要があります。
本人確認と回答の要件は、［パスワードポリシー］プロパティの［パスワードを忘れた場合］セクションで設定されます。
パスワードヒントを使用しないことを選択した場合は、どのパスワードポリシーでもそれを決して使用しないでください。
「パスワードを忘れた場合」の環境設定
［］リンクをポータル(デフォルトではhttps://www.servername.com/nps)へのログイン時にクリックした場合、以下の条件が満たされない限り、そのユーザのリンクは機能しません。
-
管理者が［パスワードを忘れた場合］を有効にしてパスワードポリシーをすでにセットアップした。
-
［パスワードを忘れた場合］の設定で秘密の質問またはパスワードヒントのいずれかが指定されている場合、ユーザがすでに質問またはヒントをセットアップした。
パスワード忘れ機能をセットアップするようユーザに促す
パスワード忘れ機能のアクションによっては、ユーザがパスワード忘れセルフサービスを使用する前に何らかのセットアップをする必要が生じます。たとえば、ユーザを識別するために秘密の質問を使用するようパスワードポリシーで指定されている場合、パスワードを忘れた場合のアクションが「ユーザにパスワードヒントを電子メールで送信する」であれば、まずユーザが秘密の質問に答えてパスワードヒントを作成した後で、パスワード忘れセルフサービスを使用できるようになります。
ユーザはこれらの機能のセットアップをポータルで自主的に開始できます。あるいは、認証後サービス(ポータルへのユーザログイン後に表示されるページ)を使ってユーザにセットアップを要求することもできます。
ログイン時にこれらの機能をセットアップするようユーザに求めるには、パスワードポリシーインタフェースの［パスワードを忘れた場合］ページの下部にある［］オプションを選択します。ポリシーを作成するとき、これがデフォルトで選択されます。
図 26-7 パスワードポリシー
ユーザに任意の時点でパスワード忘れ機能をセットアップさせるには、ポータルのURL (たとえばhttps://www.my_iManager_server.com/nps)をユーザに提供する必要があります。
ユーザによるパスワード忘れ機能のセットアップ
ユーザ側で設定する方法には、次の2つがあります。
認証後
管理者は［］オプションを選択して、ユーザのログイン成功後にパスワード忘れ機能をセットアップするようユーザに要求できます。これにより、認証後に秘密の質問またはヒントを設定するようユーザに強制します。このオプションを選択した場合、ユーザが質問またはヒントをまだセットアップしていなければ、ユーザが次回にポータルからログインしたとき、パスワード忘れ機能設定ガジェットが表示されます(ポータルのデフォルトはhttps://www.servername.com/nps)。これを認証後セットアップといいます。
ポータル内で
ユーザがiManagerポータルからログインするとき、パスワード忘れセルフサービスの秘密の質問とパスワードヒントをセットアップまたは変更するためのガジェットにアクセスできます。これは、ユーザがパスワード変更操作を開始できる場所と同じです。ここから、次のガジェットにアクセスできます。
-
ヒントのセットアップ
-
秘密の質問に答える
-
(ユニバーサル)パスワードの変更
ユーザは、いつでもこれらの変更を開始できます。ただし、ユーザのパスワードポリシーでヒントや秘密の質問が必要とされない場合は、ユーザはこれらをセットアップできません。オプションを利用できないことを示すメッセージがページに表示されます。
各アプリケーション(iManager 2.02以降、ユーザアプリケーションポートレット、Novell Client)でのこれらのユーザオプションの外観を示す例については、各アプリケーションのマニュアルを参照してください(セクション 26.5.1, パスワードセルフサービスの概要を参照)。
既存のパスワードの準拠を要求する
パスワードポリシーを作成または変更した場合、ユーザがポータルから次回ログインしたときに、準拠しない既存のパスワードを変更するようユーザに要求できます。
これを行うには、［］の下の［］タブを使用してパスワードポリシーのオプションを設定します。これは［］というオプションです。新しいパスワードポリシーを作成するとき、デフォルトでこのオプションは無効です。次の図は、このオプションを設定するページを示しています。
図 26-8 既存のパスワードの準拠を要求する
このオプションを設定すると、ユーザが次回ポータルを介してログインしたとき、パスワードがパスワードポリシーに準拠しているかどうか検査されます。パスワードが準拠していない場合、次のようなページが表示され、ユーザはパスワードを変更しない限りログインを許可されません。
図 26-9 パスワードの変更
パスワードを忘れたときにユーザに表示される情報
Identity Managerに付属のiManagerプラグインをインストールした後、次の図のような［］リンクがiManagerポータル(デフォルトではhttps://www.servername.com/nps)に表示されます。
図 26-10 iManagerでの［パスワードを忘れた場合］
Novell Clientで認証するときにも、同じようなリンクが表示されます。
ユーザがこのリンクをクリックすると、次のページが表示され、ユーザ名の入力を求められます。
図 26-11 Virtual OfficeおよびNovell Clientでの［パスワードを忘れた場合］
ユーザ名を入力した後、パスワード忘れ機能の設定に応じて、ユーザに表示される内容が異なります。
たとえば、パスワードポリシーで秘密の質問を使用するよう管理者が指定した場合、次のようなページが表示されます。この場合、ユーザは秘密の質問に答えることで本人確認の情報を提供する必要があります。
図 26-12 パスワードを忘れた場合の秘密の質問
パスワードを忘れた場合のアクションとして［］を管理者が指定した場合、次のようなページが表示されます。
図 26-13 パスワードを忘れた場合のヒント
パスワードを忘れた場合のアクションとして［］または［］を管理者が指定した場合、パスワードまたはヒントが電子メールですでに送信されたことを示すメッセージが表示されます。