[ユーザ アカウントのロック（User Account Lock）]

ユーザが正常にログインできない場合に、ユーザ アカウントをロックするかどうかを決定します。アカウントをロックすることになる失敗ログイン試行の回数を指定します。1 から 60 までの任意の数を入力できます。デフォルトは 5 です。

アカウントのロックを設定する場合は、ログインを試みているユーザに表示するメッセージを入力します。テキストは 7 ビット ASCII 文字を使用して入力します。このメッセージは、ユーザがロックされているアカウントの正しいパスフレーズを入力した場合のみ表示されます。

ユーザ アカウントがロックされた場合、管理者は GUI で [ユーザの編集（Edit User）] ページを使用するか、userconfig CLI コマンドを使用してロックを解除できます。

失敗したログインの試行は、ユーザが接続しているマシンや、接続のタイプ（SSH または HTTP など）に関係なく、ユーザ別に追跡されます。ユーザがログインに成功すると、失敗ログイン試行の回数は 0 にリセットされます。

失敗ログイン試行の最大回数に達したためにユーザ アカウントがロックアウトされると、管理者にアラートが送信されます。このアラートは「Info」重大度レベルに設定されます。

パスフレーズのリセット

管理者がユーザのパスフレーズを変更した後で、ユーザにパスフレーズを強制的に変更させるかどうかを選択します。

パスワードが期限切れになった後で、ユーザにパスフレーズを強制的に変更させるかどうかを選択することもできます。ユーザによるパスフレーズの変更が必要になるまでの、パスフレーズの有効日数を入力します。1 から 366 までの任意の数を入力できます。デフォルトは 90 です。スケジュール外の時間に、ユーザにパスフレーズの変更を強制するには、ユーザに対するオンデマンドでのパスフレーズ変更の要求を参照してください。

期限切れ後にユーザにパスフレーズを強制的に変更させる場合は、次回のパスフレーズ期限に関する通知を表示できます。期限切れの何日前にユーザに通知するかを選択します。

パスフレーズ ルール：

<number> 文字以上にする必要があります。

パスフレーズに含める最小文字数を入力します。

1 ～ 128 の範囲内の任意の数を入力してください。

デフォルトは 8 です。

パスフレーズには、ここで指定した数より多い文字を使用できます。

パスフレーズ ルール：

数字(0～9)が1文字以上必要です。

パスフレーズに数字を少なくとも 1 文字含める必要があるかどうかを選択します。

パスフレーズ ルール：

特殊文字が1文字以上必要です。

パスフレーズに 1 文字以上の特殊文字を含める必要があるかどうかを決定します。パスフレーズには、次の特殊文字を使用できます。

~ ? ! @ # $ % ^ and * - _+ =

\ | / [ ] ( ) < > { } ` ' " ; : , 。

パスフレーズ ルール：

ユーザ名とその変化形をパスフレーズとして使用することはできません。

対応するユーザ名またはユーザ名の変化形と同じものを、パスフレーズに使用できるかどうかを決定します。ユーザ名の変化形の使用を禁止する場合、次のルールがパスフレーズに適用されます。

• 大文字か小文字かに関係なく、パスフレーズはユーザ名と同じであってはならない。

• 大文字か小文字かに関係なく、パスフレーズはユーザ名を逆にしたものと同じであってはならない。

• パスフレーズは、次の文字置換が行われたユーザ名、またはユーザ名を逆にしたものと同じであってはならない。

  • 「a」の代わりに「@」または「4」

  • 「e」を「3」に置換

  • 「i」を「|」、「!」、または「1」に置換

  • 「o」を「0」に置換

  • 「s」を「$」または「5」に置換

  • 「t」を「+」または「7」に置換

パスフレーズ ルール：

直近 <number> 個のパスフレーズを再使用することはできません。

ユーザにパスフレーズの変更を強制する場合に、最近使用したパスフレーズを選択できるかどうかを決定します。最近のパスフレーズの再使用を禁止する場合、再使用を禁止する最近のパスフレーズの個数を入力します。

1 から 15 までの任意の数を入力できます。デフォルトは 3 です。

パスフレーズルール:

パスフレーズで許可しない単語の一覧

パスフレーズでの使用を禁止する単語のリストを作成できます。

このファイルは、許可しない単語ごとに行を分けたテキスト ファイルにします。forbidden_passphrase_words.txt という名前でファイルを保存し、SCP や FTP を使用してアプライアンスにファイルをアップロードします。

この制限を選択しても単語のリストをアップロードしないと、この制限は無視されます。

パスフレーズの強度

管理者またはユーザが新しいパスフレーズを入力するときに、パスフレーズ強度インジケータを表示できます。

この設定によって強固なパスフレーズが作成されるわけではありません。この設定は、入力したパスフレーズの推測されやすさを示すだけです。

インジケータを表示する対象ロールを選択します。次に、選択したロールごとにゼロより大きい数字を入力します。数字が大きいほど、強力であるとして登録されるパスフレーズは推測されにくいことを意味します。この設定に最大値はありません。

例：

• 30 と入力した場合は、少なくとも 1 つの大文字と小文字、数字、特殊文字を含む 8 文字のパスフレーズが強力なパスフレーズとして登録されます。

• 18 と入力した場合は、すべて小文字で数字と特殊文字を含まない 8 文字のパスフレーズが強固なパスフレーズとして登録されます。

パスフレーズの強度は対数目盛で測定されます。評価は、NIST SP 800-63 付則 A の定義に準拠する、米国国立標準技術研究所のエントロピー ルールに基づいています。

一般的に、強固なパスフレーズは次のような特徴を備えています。

• 長い。

• 大文字、小文字、数字、および特殊文字を含む。

• あらゆる言語の辞書にある語を含まない。

これらの特徴を備えたパスフレーズを適用するには、このページの他の設定を使用します。

パスフレーズルール

ログインパスフレーズを定義するには、E メールおよび Web マネージャに新しいパスフレーズルールを追加します。

3 つ以上の反復文字または連続文字を含むパスフレーズは使用しないでください（例：「AAA@124」、「Abc@123」など）。

パスフレーズルール

ログインパスフレーズを定義するには、E メールおよび Web マネージャに新しいパスフレーズルールを追加します。

パスフレーズでユーザ名の部分文字列を使用しないでください。数字および特殊文字、ユーザ名に含まれる3文字以上は使用できません。

[外部認証されたユーザを複数のローカルロールに割り当てます（推奨）（Map externally authenticated users to multiple local roles（Recommended））]

AsyncOS は、RADIUS CLASS 属性に基づいて、RADIUS ユーザをアプライアンス ロールに割り当てます。CLASS 属性の要件：

• 3 文字以上

• 253 文字以下

• コロン、カンマ、または改行文字なし

• 各 RADIUS ユーザに対し 1 つ以上のマップ済み CLASS 属性（この設定を使用する場合、AsyncOS は、マップ済み CLASS 属性のない RADIUS ユーザへのアクセスを拒否します）。

複数の CLASS 属性のある RADIUS ユーザの場合、AsyncOS は最も制限されたロールを割り当てます。たとえば、Operator ロールにマッピングされている CLASS 属性と、Read-Only Operator ロールにマッピングされている CLASS 属性の 2 つが RADIUS ユーザにある場合、AsyncOS は、Operator ロールよりも制限された Read-Only Operator ロールに RADIUS ユーザを割り当てます。

次のアプライアンス ロールは、制限の少ないものから順番に並べられています。

• 管理者（Administrator）

• Email Administrator

• Web 管理者

• Web ポリシー管理者

• URL Filtering Administrator（Web セキュリティ）

• カスタム ユーザ ロール（電子メールまたは Web）

ユーザにカスタム ユーザ ロールにマッピングされた複数のクラス属性が割り当てられている場合、RADIUS サーバのリストの最後のクラス属性が使用されます。

• 専門技術者

• 演算子

• Read-Only Operator

• ヘルプ デスク ユーザ

• ゲスト

[外部認証されたすべてのユーザを管理者ロールに割り当てます（Map all externally authenticated users to the Administrator role）]

AsyncOS は RADIUS ユーザを Administrator ロールに割り当てます。