26.2 非可逆パスワードストレージを理解する

ユニバーサルパスワードは暗号化されてからOpenText eDirectoryに保存されます。必要なときにはいつでもこれらのパスワードをOpenText eDirectoryで取得できます。たとえば、認証時などです。

ユニバーサルパスワードの代替方法として、OpenText eDirectory 9.2では、パスワードベースのキー導出関数2 (PBKDF2)ハッシュアルゴリズム(RFC 2898)を使用してハッシュされたパスワードの保存がサポートされます。パスワードのPBKDF2ハッシュが有効になっている場合、ユーザのパスワードを取得することはできません。詳細については、ユニバーサルパスワードの設定オプションを参照してください。

重要:OpenText eDirectory 9.2以降、パスワードポリシーでユニバーサルパスワードを無効にすると、パスワードのPBKDF2ハッシュが自動的に有効になります。ユニバーサルパスワードが無効になっている既存のパスワードポリシーは、OpenText eDirectory 9.2にアップグレードする前はユーザに適用されません。しかし、サーバをeDirectory 9.2にアップグレードすると、これらのパスワードポリシーはツリー内のすべてのユーザに自動的に適用されます。これを回避するには、アップグレードする前に、これらのパスワードポリシーのすべての割り当てを削除します。

NDSパスワードからPBKDF2パスワードへ切り替える場合、SCRAMログインメソッドに手動で切り替える必要もあります。SCRAMログインメソッドの詳細については、パスワード認証を参照してください。

メモ:

  • PBKDF2ハッシュアルゴリズムを使用して作成されたパスワードは大文字と小文字を区別します。この点、大文字と小文字を区別しないNDSパスワードとは異なります。

  • PBKDF2ハッシュアルゴリズムで作成されたパスワードは、パスワードポリシーのnspmXCharHistoryLimitとnspmXCharLimitルールをサポートしません。

  • デフォルトでは、PBKDF2は、SHA-256を使用するように設定されています。ただし、これはnspmPBKDF2HashAlgorithm属性を使用して、SHA-384およびSHA-512を使用するように設定できます。この属性を設定する場合、次のいずれかの値を同じフォーマットで指定できます。

    • sha256

    • sha384

    • sha512

  • デフォルトでは、PBKDF2は繰り返しカウント1を使用するように設定されています。繰り返し回数は、nspmPBKDF2IterationCount属性を使って増やすことができます。繰り返しカウントを増加させると、ldapバインドのパフォーマンスが低下します。

  • SCRAMログインメソッドでは、パスワードへのOTPの追加はサポートされません。NDSログインメソッドをハッシュベースOTP (HOTP)と共に使用するユーザがツリー内にいる場合、そのようなユーザに対してSCRAMログインメソッドの使用を許可しないでください。

26.2.1 非可逆パスワードストレージの有効化

  1. OpenText Identity Consoleを起動します。

  2. OpenText Identity Consoleのホームページで、［認証管理］>［パスワードポリシー］の順に選択します。

  3. ［パスワードポリシーの作成 ］をクリックして、パスワードポリシーウィザードを起動します。

  4. ポリシーの名前を入力し、［次へ］をクリックします。

  5. ユニバーサルパスワードを選択解除し、PBKDF2パスワードを有効にします。

  6. パスワードポリシーウィザードを完了します。