セキュリティ · パスワードポリシー、セッション、許可 IP
「設定 · セキュリティ」の画面では、パスワードの規則、セッションを終了させる無操作時間、組織へのアクセスを許可するネットワークアドレスの一覧を設定します。組織の全員に適用され、変更できるのは管理者だけです。
組織ごとにリスクの許容度は違います。小さなチームなら妥当なパスワードだけで十分かもしれませんが、監査に応じる企業では、長いパスワード、定期的な変更、オフィスのネットワークに限定したアクセスが必要になるのが普通です。この画面は、その 3 つの判断を 1 か所にまとめます。
「設定」を開き、「セキュリティ」をクリックします。変更は、「保存」をクリックした時点から組織全体に適用されます。
パスワードポリシー
- 最小の長さ: 最低限必要な文字数です。既定は 8 で、指定できる範囲は 6 から 128 です。
- 有効期限（日）: この期間を過ぎると、次回のログイン時にパスワードの変更が必須になります。ゼロは無期限を意味し、これが既定です。
- 最短の変更間隔（時間）: 再度変更できるようになるまでに必要な経過時間です。古いパスワードに戻すために何度も連続して変更することを防ぎます。ゼロでこの規則は無効になります。
- 直近 N 件のパスワードを再利用しない: 使用を禁止する過去のパスワードの件数です。既定は 5、最大は 24 です。
- 必要な複雑さ: 独立した 4 つのチェックボックスです。大文字を必須、小文字を必須、数字を必須、記号を必須。初期状態ではすべて有効です。
これらの規則は、製品内でパスワードを変更するとき、つまり「マイアカウント」でも、変更を求められる画面でも適用されます。新しいパスワードが保存済みの直近のものと同じ場合、「このパスワードは最近使用されています。別のものを選んでください」と表示されます。
セッション
「無操作でセッションを終了（分）」の項目は、操作が止まった人を自動的にログアウトさせます。ゼロでこの規則は無効になります。計測はブラウザ側で行われ、マウス、キーボード、スクロール、タッチの動きを見ています。サーバー側でも行われ、最後の在席のしるしが上限より古い場合はセッションを拒否します。つまり、タブを開いたままにしておくだけでセッションが生き続けることはありません。
IP によるアクセス制限
- テキスト欄に、1 行につき 1 つのアドレスまたは範囲を書きます。
- 個別のアドレスは 203.0.113.10 の形式です。範囲は 10.0.0.0/24 のようにスラッシュ表記を使います。
- 「保存」をクリックします。この一覧が組織全体に適用されます。
- 一覧が空の場合、どこからでもアクセスできます。これが既定です。
- スラッシュ表記の範囲は、4 つの数字からなる従来形式のアドレスで機能します。新しくより長い形式のアドレスは完全一致でのみ受け付けられるため、そちらに範囲を書かないでください。
- 送信元の情報がないリクエストは許可されます。ネットワーク上のささいな事情で組織全体を締め出してしまわないための選択です。
遮断された人にはアクセス拒否の画面が表示され、そのできごとは「IP によるアクセス遮断」として監査証跡に入り、管理者にはベルで通知が届きます。通知内のアドレスは一部が伏せられます。同じ人と同じアドレスの組み合わせによる通知が繰り返される場合は、通知があふれないよう 1 時間単位でまとめられます。
緊急時の操作
- 次回ログイン時に全員へパスワード変更を要求: 組織の全員に、次回ログイン時のパスワード変更を課します。何人のユーザーに適用されたかが画面に表示されます。
- すべてのセッションを終了: ご自身のアカウントのセッションを、すべての端末とブラウザで終了し、その場でログアウトします。このボタンで同僚のセッションが切れることはありません。
操作できる人
保存できるのは、設定を管理する権限を持つ人だけです。それ以外の人が試みると、「セキュリティを変更できるのは管理者だけです」と表示されます。ここで保存した変更はすべて、適用された値とともに「セキュリティを変更」として監査証跡に記録されます。