パスワード セキュリティ ページ (ユーザ > パスワード セキュリティ) では、 ローカル アカウントのパスワードが受け入れられる前に、最低限の複雑さのレベルを満たす必要があるかどうかを制御します。

• [厳格なパスワードを強制する] が [オン]に設定されている場合、対象となるアカウントに対してその後に設定されるすべてのパスワードは、厳格なパスワードを構成する次のルールに準拠する必要があります。

• 「厳格なパスワードを強制する」 が 「オフ」に設定されている場合、パスワードに対する追加のチェックは行われません。 デフォルトは[Off]です。

生成されるパスフレーズのエントロピーの最小ビット数もこのページで 0 ～ 255 の範囲で設定できます (デフォルトは 6)。

（注）	この設定に関係なく、管理者アカウントに空のパスワードを設定することはできません。

厳格なパスワードの範囲

厳格なパスワードを強制する 設定は、Expressway 自体で管理されているローカル アカウントにのみ適用されます。

• ローカル管理者アカウント

• ローカル FindMe ユーザ アカウント

• ローカル認証データベースの資格情報（他のデバイスが Expressway で認証する必要があるときに使用される有効なユーザ名とパスワードのリスト）

これは、LDAP/リモートで保存された管理者や FindMe の認証情報など、Expressway で使用されるその他のパスワードには影響しません。

（注）	すべてのパスワードとユーザ名は大文字と小文字が区別されます。

厳格なパスワードのための設定不可能なルール

[厳格なパスワードを強制する] が [オン]に設定されている場合は、次のパスワード ルールが常に適用され、構成することはできません。

• 同じ文字の複数の出現は避けてください（連続しない出現はチェックされます）

• "abc" や "123 のような 3 文字以上の連続文字は避けてください。"

• 辞書の単語や逆順に並べた単語は避ける

• "risetovotesir" のような回文は避けてください。

管理者アカウント、ローカル認証データベース、および FindMe ユーザーのパスワードを作成または変更するときに、[厳格なパスワードポリシーを適用する] がオンになっていて、パスワードがユーザー名と同じ文字を順番通りまたは逆順 (小文字または大文字) で使用している場合、ページの上部にエラーメッセージが表示されます。

厳格なパスワードに関する設定可能なルール

パスワード ポリシーの次のプロパティを構成できます。

「カスタム禁止パスワード辞書を有効にする」 が オンに設定されている場合、カスタム禁止パスワード辞書を使用して厳密なパスワードチェックを実行できます。

「カスタム禁止パスワード辞書を有効にする（Enable custom forbidden password dictionary）」 が 「オフ」に設定されている場合、厳密なパスワード チェックを実行するときにカスタム辞書は使用されません。 デフォルトは オフです。

• 長さは少なくとも 6 文字の ASCII 文字である必要がありますが、最大 255 文字まで可能です (デフォルトは 15)

• 数字の桁数 [0-9] は 0 から 255 までです (デフォルトは 2)

• 大文字の数 [A-Z] は 0 から 255 までです (デフォルトは 2)

• 小文字 [a-z] の数は 0 から 255 までです（デフォルトは 2）

• 特殊文字の数（7 ビット ASCII の印刷可能な文字、たとえば（スペース）、@、$など）は 0〜255（デフォルトは 2）です。

• 連続して繰り返される文字の数は 1 から 255 まで指定できます (デフォルトの 0 ではチェックが無効になるため、連続して繰り返される文字はデフォルトで許可されます。パスワードに連続して繰り返される文字が含まれないようにするには、1 に設定します)

• 文字クラスの最小数は 0 ～ 4 です (デフォルトの 0 ではチェックが無効になります)。 文字クラスは、数字、小文字、大文字、特殊文字です。

  必要な文字クラスの数とクラスあたりの文字数の間に優先順位の影響が生じる場合があります。

  たとえば、各クラスの文字を 2 つずつというデフォルトの要件のままにしておくと、4 つの文字クラスが必要であるという暗黙のルールが存在します。 この場合、 文字クラスの最小数 の設定は無関係です。 または、文字クラスの最小数を 2 に設定し、各クラスに必要な文字の最小数を 0 に設定すると、2 つの任意のクラスの文字を含むパスワードで十分になります (他の条件を満たしていると仮定)。

Expressway で設定されたすべてのパスワードは、暗号化またはハッシュされた形式で安全に保存されます。 これは、ユーザ名とパスワードが関連付けられている以下の項目に適用されます。

• デフォルトの admin管理者 アカウント

• 追加の管理者アカウント

• ローカル認証データベースの資格情報（他のデバイスが Expressway で認証する必要があるときに使用される有効なユーザ名とパスワードのリスト）

• 送信接続資格情報（別のシステムで認証が必要な場合に Expressway によって使用されます）

• LDAP サーバー (Expressway が LDAP サーバーにバインドするときに使用)

ローカル管理者アカウントのパスワードは SHA512 を使用してハッシュされます。 その他のパスワードは暗号化された形式で保存されます。

Web インターフェースと CLI の比較

Web インターフェイスを使用してパスワードを入力または表示すると、入力している文字の代わりにプレースホルダー文字が表示されます。

コマンドライン インターフェイスを使用してパスワードを入力する場合は、パスワードをプレーンテキストで入力します。 ただし、コマンドを実行すると、パスワードは {cipher} プレフィックスが付いた暗号化された形式で表示されます。 次に例を示します。

xConfiguration 認証パスワード: "{cipher}xcy6k+4NgB025vYEgoEXXw=="

パスワードの最大長

各パスワードの種類ごとに、入力できるプレーンテキスト文字の最大数を以下の表に示します。

（注）	パスワードを暗号化して保存すると、元のプレーンテキスト バージョンよりも多くの文字が使用されます。

管理者アカウント ページ (ユーザ > 管理者アカウント) には、Expressway 上のすべてのローカル管理者アカウントが一覧表示されます。

通常、ローカル管理者アカウントは、Web インターフェイスまたは API インターフェイス上の Expressway にアクセスするために使用されますが、CLI へのアクセスは許可されません。

このページでは次のことができます:

• 新しい管理者アカウントを作成する

• 管理者パスワードを変更する

• アカウントのアクセスレベルを変更します: 読み取り/書き込み、 読み取り専用、または 監査人

• アカウントのアクセス範囲を変更します: Web アクセス、 API アクセス、またはその両方

• 個々の管理者アカウントまたは複数の管理者アカウントを削除、有効化、無効化する

• 緊急アカウントを指定する

デフォルトの管理者アカウント、または読み取り/書き込みアクセス権を持つその他の管理者アカウントで Expressway にログインすると、任意のアカウントパスワードをリセットできます。 これが不可能な場合は、コンソールから admin または root のパスワードをリセットできます。

（注）	パスワードをリセットしても、保存されている構成とデータは影響を受けません。

Expressway は、Expressway オペレーティング システムにログインするために使用できるルート アカウントを提供します。 このアカウントのユーザー名は root (すべて小文字) です。プロンプトが表示されたら、任意のパスワードを設定してください。 root アカウントにデフォルトのパスワードが設定されている場合、Web インターフェイスと CLI にアラームが表示されます。

（注）	root アカウントは機密情報へのアクセスを許可する可能性があるため、通常の操作では使用しないでください。特に、このアカウントを使用してシステム構成を実行しないでください。 代わりに管理者アカウントを使用してください。

X14.0 リリース以降、pwrec アカウントのパスワードはコマンド ライン インターフェイスを通じてのみ設定できます。

重要	パスワードを設定すると、アカウントには常にパスワードが必要になります。 現在、パスワードをリセットする方法はありません。

パスワードを設定するには:

• SSH 経由または物理アプライアンス経由で root としてログインします

• "passwd pwrec" を使用してパスワードを設定します。

• 新しいパスワードを入力し、確認のために再入力するよう求められます。

• 両方のパスワードが一致する場合、「"passwd: password updated successfully"」と表示されます。

  • パスワードが一致しない場合は、「Sorry", passwords don’t match"」と表示されます。

（注）	このページは、 OAuth トークンによる承認 設定によって構成された標準の OAuth トークンに適用されます。 これは、自己記述型 OAuth トークン ( 「OAuth トークンによる認証とリフレッシュ」によって構成される) には適用されません。

1. 現在 SSO トークンを保持しているユーザーのリストを表示します: 現在 SSO トークンを保持しているユーザーのリストを表示するには、[ユーザー（Users）] > [SSO トークンの保持者（SSO token holders）] に移動します。 このページは、特定のユーザのシングル サインオンに関連する問題のトラブルシューティングに役立ちます。

2. すべての保有者からトークンを消去: このページを使用して、 すべての保有者からトークンを消去することもできます。 このオプションはユーザにとって混乱を招く可能性があるので、続行する前に必要かどうかを確認してください。 たとえば、セキュリティが侵害されていることがわかっている場合や、内部またはエッジ インフラストラクチャをアップグレードする場合に必要になることがあります。