ユーザーログイン、アカウントロックアウト、およびユーザー状態の設定を構成する - Bastionhost

[ユーザー設定] タブでは、ユーザーの認証方法、ログイン失敗時の処理方法、パスワード要件、および非アクティブなアカウントに対する処理を設定できます。これらの設定を構成して、Bastionhost インスタンスの不正アクセスに対するセキュリティを強化します。

前提条件

開始する前に、以下を確認してください。

Bastionhost インスタンス
Bastionhost コンソールへの管理者アクセス

ユーザー設定の構成

Bastionhost コンソールにログインします。上部のナビゲーションバーで、ご利用の Bastionhost インスタンスが配置されているリージョンを選択します。
Bastionhost インスタンス一覧で、ターゲットインスタンスを見つけ、[管理] をクリックします。
左側のナビゲーションウィンドウで、[システム設定] をクリックします。
[ユーザー設定] タブで、以下のセクションで説明されているパラメーターを設定し、[保存] をクリックします。

ユーザーログイン設定

ユーザーが Bastionhost にログインする際に使用できる認証方式を制御します。

パラメーター	説明
パスワードベースの SSH ログインを無効にする	有効にすると、ユーザーは SSH または SSH トンネルを介して O&M 操作を実行するために、キーペアまたは O&M トークンで認証する必要があります。パスワードベースの SSH ログインはブロックされます。
SSH 公開鍵認証を無効にする	有効にすると、ユーザーは SSH ベースの O&M ツールを使用して O&M 操作を実行したり、SSH トンネルを介してデータベースにアクセスしたりするために、パスワードまたは O&M トークンで認証する必要があります。SSH 公開鍵認証はブロックされます。
プライベート O&M ポータルでの CAPTCHA を無効にする	有効にすると、ユーザーがプライベートエンドポイントを介して O&M ポータルにログインする際に、コンピューターと人間を区別するための完全自動公開チューリングテスト (CAPTCHA) がスキップされます。CAPTCHA は、パブリックネットワークを介したログインの場合にのみトリガーされます。ユーザーがパブリックエンドポイントを介して Bastionhost に到達できない場合は、これを有効にします。

ログインロック設定

アカウントロックアウトポリシー

ブルートフォース攻撃から保護するために、ログイン試行の失敗が繰り返された後にアカウントをロックします。

パラメーター	デフォルト	有効な値	説明
アカウントロックアウトしきい値	5	0–999	アカウントがロックされるまでの、連続して失敗したログイン試行の回数。アカウントのロックを無効にするには、0 に設定します。
アカウントロックアウト期間	30 minutes	0–10080 minutes	ロックされたアカウントがアクセスできなくなる期間です。0 に設定すると、管理者が手動でロックを解除するまでアカウントはロックされたままになります。
アカウントロックアウトカウンターのリセット期間	5 minutes	0–10080 minutes	失敗回数がしきい値を下回る場合、この期間が経過すると失敗カウンターは 0 にリセットされます。

カウンターリセットの仕組み: [アカウントロックアウトしきい値] が 5 で、[アカウントロックアウトカウンターのリセット期間] が 5 分の場合、ユーザーが 14:00:00 に 4 回目のログイン試行に失敗し、14:00:00 から 14:05:00 の間にそれ以上の失敗がなかった場合、カウンターは 14:05:00 に 0 にリセットされます。

IP ロックアウト

ログインに繰り返し失敗する送信元 IP アドレスをロックします。

パラメーター	デフォルト	有効な値	説明
アカウントロックアウトしきい値	30	—	その IP アドレスがロックされるまでの、同じソース IP アドレスからのログイン失敗回数です。IP ロックを無効にするには、0 に設定します。
アカウントロックアウトカウンターのリセット期間	5	1–10080	IP アドレスのログイン失敗カウンターが 0 にリセットされるまでの分数。
ブラックリスト内の IP アドレス	—	—	現在ロックされているすべての IP アドレスが表示されます。ロックされた IP は自動的にロック解除されることはありません。管理者が手動でロック解除するまで、Bastionhost に再度アクセスすることはできません。

ユーザーパスワードセキュリティ設定

ローカルユーザーのパスワード有効期限と再利用制限を設定します。

パラメーター	デフォルト	有効な値	説明
パスワード有効期間	0 days	0–365 days	ローカルユーザーのパスワードの有効期限が切れてリセットが必要になるまでの日数です。[0] に設定すると、パスワードは有効期限切れになりません。ローカルユーザーのみに適用されます。
パスワード履歴	5	0–30	パスワードをリセットする際に再利用できない過去のパスワードの数。再利用の制限を適用しない場合は、[0] に設定します。

ユーザー状態設定

長期間使用されていないアカウントを検出し、それに対してアクションを実行します。

パラメーター	デフォルト	有効な値	説明
非アクティブなユーザーアカウントをマークする	0 days	0–365 days	アカウントが非アクティブとマークされるまでの非アクティブ期間の日数。このマーク付けを無効にするには、[0] に設定します。
非アクティブなユーザーアカウントを自動的にロックする	10 minutes	10–1440 minutes or 1–24 hours	システムが長期間非アクティブなアカウントをチェックし、自動的にロックする間隔。ロックされたユーザーは、管理者がアカウントのロックを解除するまで再度ログインできません。
AD および LDAP 認証ユーザーの状態と情報の自動同期	240 minutes	15–14400 minutes	Bastionhost が Active Directory (AD) または Lightweight Directory Access Protocol (LDAP) を介して認証されたユーザーの構成と状態を同期する頻度。