Bastionhost のパスワード変更タスクは、設定したルールに基づいて、スケジュールされた時刻または定期的な間隔でパスワードまたはキーをローテーションします。このプロセスにより、ビジネスのセキュリティが向上します。このトピックでは、パスワード変更タスクの使用方法について説明します。
背景情報
セキュリティコンプライアンス規制では、ホストアカウントのパスワードまたはキーを定期的に変更する必要があります。同じパスワードまたはキーを長期間使用すると、セキュリティリスクが生じます。パスワードとキーを手動でローテーションするのは、面倒でエラーが発生しやすいタスクです。Bastionhost の自動パスワード変更機能は、これらの問題を解決します。この機能により、O&M の効率とセキュリティが大幅に向上します。
条件
バージョン要件: この機能は、Bastionhost Enterprise Edition および SM 準拠版でのみ利用できます。Bastionhost インスタンスを購入またはスペックアップするには、「インスタンスの購入」および「インスタンスタイプのスペックアップ」をご参照ください。
タスクの制限:
パスワード変更タスクは、共有キーのローテーションをサポートしていません。
ホストアカウントは、1 つのパスワード変更タスクにのみ関連付けることができます。
前提条件
Bastionhost にホスト資産をインポートし、ホストアカウントをエスクローする必要があります。詳細については、「ホストの作成」および「ホストアカウントの管理」をご参照ください。
パスワード変更タスクの作成
Bastionhost システムにログオンします。詳細については、「システムへのログオン」をご参照ください。
左側のナビゲーションウィンドウで、 を選択します。
Password Change ページで、Create Password Change Task をクリックします。
[パスワード変更タスク] パネルで、次の表の説明に従ってタスクのパラメーターを設定し、[作成] をクリックします。
パラメーター
説明
タスク名
パスワード変更タスクの名前を入力します。
タスクタイプ
オプションは [キーローテーション] と [パスワードローテーション] です。
実行モード
タスクの実行モードを選択します。次のモードが利用可能です:
[定期実行]: Bastionhost は、指定された時刻と間隔でタスクを自動的に実行します。
実行時間は、現在の時刻から少なくとも 5 分後である必要があります。
最大期間は 365 日です。
[スケジュール実行]: Bastionhost は、スケジュールされた時刻にタスクを自動的に開始します。実行時間は、現在の時刻から少なくとも 5 分後である必要があります。
パスワードルール
[タスクタイプ] を [パスワードローテーション] に設定すると、パスワードの複雑さと長さを設定できます。
[パスワードの複雑さ]: 数字、小文字、大文字、その他の文字など、含める文字タイプを選択します。Bastionhost は、選択されたタイプに基づいて新しいパスワードをランダムに生成します。少なくとも 2 つの文字タイプを選択してください。
[パスワードの長さ]: パスワードの最小長と最大長を設定します。値は 8 から 32 の間でなければなりません。たとえば、最小値を 8、最大値を 32 に設定すると、8 から 32 文字のランダムな長さのパスワードが生成されます。
[パスワードポリシー]: 文字の最小数、文字の繰り返し制限、および除外文字を設定します。最小文字数とその他の文字の合計数は、パスワードの長さを超えることはできません。
数字、小文字、大文字、その他の文字の値は 0 から 32 の間でなければなりません。
文字を繰り返すことができる回数の値は 1 から 32 の間でなければなりません。
除外文字セット: 生成されたパスワードには、このセットの文字は含まれません。
キールール
[タスクタイプ] を [キーローテーション] に設定すると、キーアルゴリズム、キーの長さ、および暗号化パスワードを設定できます。
[キーアルゴリズム]: オプションは RSA と ED25519 です。
[キーの長さ]: キーアルゴリズムとして RSA を選択した場合、キーの長さを 2048、3072、または 4096 ビットに設定できます。
[暗号化パスワード]: キーの暗号化パスワードを設定します。キー暗号化パスワードは、暗号鍵を保護するために使用されるセキュリティメカニズムです。
備考
パスワード変更タスクに関する補足情報を入力します。
[アカウントの関連付け] をクリックします。[エスクローアカウント] タブで、[ホストアカウントの追加] をクリックします。
[ホストアカウントの追加] ダイアログボックスで、追加するホストアカウントを選択し、[追加] をクリックします。
アカウントが追加されると、「[パスワード変更タスクはホストアカウントに正常に関連付けられました]」というメッセージが表示されます。作成したパスワード変更タスクは、[パスワード変更タスク] ページで表示できます。
説明ホストアカウントは、1 つのパスワード変更タスクにのみ関連付けることができます。
タスクタイプが [パスワードローテーション] の場合、パスワードがエスクローされているアカウントのみを追加できます。タスクタイプが [キーローテーション] の場合、Secure Shell (SSH) 秘密鍵がエスクローされているアカウントのみを追加できます。共有キーはローテーションできません。
関連操作
パスワード変更タスクをすぐに実行する
パスワード変更タスクを作成すると、指定した時刻または間隔で自動的に実行されます。タスクをすぐに実行するには、[パスワード変更タスク] ページでタスクを選択し、リストの下部にある [今すぐ実行] をクリックします。
複数のパスワード変更タスクを同時に実行すると、それらは順次実行されます。
スケジュールされた実行時刻が即時実行と重なった場合、Bastionhost はタスクを 1 回だけ実行します。それ以外の場合、タスクをすぐに実行してもそのスケジュールには影響しません。タスクは、次のスケジュールされた時刻または間隔で実行されます。
1 つ以上のアカウントのパスワードをすぐに変更する
Password Change リストで、タスクの名前をクリックします。タスク詳細パネルの Managed Accounts タブで、1 つ以上のホストアカウントを選択し、今すぐパスワードを変更する をクリックします。
パスワード変更レコードの表示
Password Change リストで、実行されたタスクの名前をクリックします。タスク詳細パネルの Managed Accounts タブで、Status 列のステータスをクリックします。
開いた パスワード変更記録 パネルで、パスワード変更レコードの詳細を表示します。
パスワード変更タスクの変更、有効化、停止、または削除
パスワードとパスワード変更ログのエクスポート
パスワード変更タスクが正常に実行された後、新しいパスワードとパスワード変更ログをエクスポートできます。
Password Change リストで、完了したタスクの名前をクリックします。タスク詳細パネルで、パスワード変更履歴 タブをクリックし、次に Export Password をクリックします。
パスワード変更履歴のエクスポート ダイアログボックスで、ファイルを暗号化するために 4 から 32 文字のファイル暗号化パスワードを入力し、パスワード変更履歴のエクスポート をクリックします。
ホストアカウントのパスワードは .zip ファイルに圧縮され、お使いのコンピューターにダウンロードされます。
説明ファイル暗号化パスワードは安全な場所に保管してください。ファイルからパスワードを取得するには、このパスワードを入力する必要があります。
パスワード変更タスクをサポートするオペレーティングシステムのバージョン
オペレーティングシステム | バージョン | |
Windows | Microsoft Windows |
|
Microsoft Windows Server |
| |
Linux | Alibaba Cloud Linux |
|
CentOS |
| |
Ubuntu |
| |
Debian |
| |
openSUSE |
| |
SUSE Linux |
| |
CoreOS |
| |
Red Hat Enterprise |
| |