Alibaba Cloud アカウントのすべての RAM ユーザーに対して、統一されたパスワードポリシーを設定できます。これにより、サインインのセキュリティを強化し、企業のコンプライアンス要件を満たすことができます。このポリシーは、パスワードの長さ、有効期間、履歴チェックなどを対象とします。
パスワードポリシーは、アカウントレベルの グローバル設定 です。変更すると、現在の Alibaba Cloud アカウント内の すべての RAM ユーザー に影響します。Resource Access Management (RAM) は、ユーザーグループや個々のユーザーごとに異なるパスワードポリシーをサポートしていません。
注意事項
パスワードポリシーを設定する前に、次の点にご注意ください。
-
ポリシーの適用範囲：パスワードポリシーは、ユーザー名とパスワードを使用してコンソールにサインインする RAM ユーザーにのみ適用されます。AccessKey を使用する プログラムによるアクセス には影響しません。
-
ポリシー変更が有効になるタイミング：パスワードポリシーを変更した後 (たとえば、必要なパスワードの長さを長くしたり、有効期限を設定したりした場合)、既存のユーザーは、パスワードの変更をすぐに強制されることはありません。新しいポリシーは、ユーザーがサインイン時に促された場合、または 手動リセット によって パスワードを次回変更する ときに適用されます。
-
特殊なサインインシナリオ：
-
SSO 連携：企業が ID プロバイダー (IdP) を使用して Alibaba Cloud との SSO 連携を行っている場合、RAM ユーザーのサインインパスワードを設定する必要はありません。これらの RAM ユーザーにパスワードを設定する場合、パスワードはこのポリシーに準拠する必要があり、SSO が無効になった場合にサインインに使用できます。
-
Alibaba Cloud は、お客様のパスワードを平文で保存しません。代わりに、一方向暗号化 によって生成された ソルト付きハッシュ値 を保存します。この値は元のパスワードに元に戻せないため、パスワードの安全性が確保されます。
操作手順
ルートアカウントまたは RAM の管理者権限 (AliyunRAMFullAccess) を持つ RAM ユーザーとして、すべての RAM ユーザーに対して統一されたパスワードポリシーを設定または変更できます。
コンソール
-
RAM コンソールにサインインします。
-
設定 ページで、パスワードポリシー セクションの 変更 をクリックして、パスワードのルールを設定します。
-
OK をクリックします。
API
-
GetPasswordPolicy API を呼び出して、現在のパスワードポリシーを表示します。
-
SetPasswordPolicy API を呼び出して、パスワードポリシーを変更します。
パスワードポリシーのパラメーター
|
パラメーター |
説明 |
デフォルト |
推奨事項 |
|
[パスワードの長さ] |
パスワードは 8～32 文字である必要があります。最小長は設定可能です。有効な値：8～32。デフォルト値：8。最大長は 32 文字に固定されており、設定できません。 |
8 |
|
|
[含める文字の種類] |
パスワードに含める必要がある文字種です。大文字、小文字、数字、特殊文字の中から 1 つ以上を要求できます。 |
[無効] |
少なくとも 3 種類の文字種を選択することを推奨します。 |
|
[含める異なる文字] |
パスワードに必要なユニーク文字の最小数です。最大値：8。たとえば、これを 3 に設定した場合、 |
[無効] |
繰り返し文字で構成される弱いパスワードを防ぐために、4 以上に設定します。 |
|
[ユーザー名を含めない] |
パスワードにユーザー名が含まれることを禁止します。 |
[無効] |
この設定を有効にすることを推奨します。 |
|
[パスワード期限切れ後、ログインを拒否] |
パスワードが期限切れのユーザーが、パスワードを変更するためにコンソールにサインインできるかどうかを制御します。有効にすると、ユーザーはサインインをブロックされ、管理者に連絡して パスワードをリセット する必要があります。 |
[無効] |
[パスワードの有効期間] または [初期パスワードの有効期間] を設定すると、一部のパスワードが即座に期限切れになる可能性があります。サインインの中断を避けるため、これらの有効期間を調整する間は、この設定を有効にしないことを推奨します。 |
|
[パスワードの有効期間] |
パスワードが期限切れになるまでの有効日数です。最大：1095 日。 説明
パスワードをリセットすると、有効期間がリセットされます。 |
[無効] |
90 日以内の期間を推奨します。 |
|
[初期パスワードの有効期間] |
初期パスワードが有効な日数です。ユーザーがこの期間内に初回サインインしない場合、パスワードは期限切れになります。 0～90 日 の期間を設定できます。値が 0 の場合、このポリシーは無効になります。 |
14日 |
デフォルトの 14 日を維持することを推奨します。初期パスワードの有効期間は、パスワードの最大有効期間 を超えないようにしてください。 |
|
[過去のパスワードを再利用しない] |
ユーザーが直近 N 個のパスワードを再利用することを禁止します。N の最大値は 24 です。 |
[無効] |
|
|
[パスワード再試行回数] |
1 時間以内に 連続 してサインインに失敗した場合、アカウントが 1 時間ロックされるまでの試行回数です。1 時間のロックアウト期間はシステムの固定デフォルト値であり、変更できません。最大：32。 説明
パスワードをリセットすると、サインイン失敗の試行回数がクリアされます。 この設定は RAM ユーザーにのみ適用されます。Alibaba Cloud アカウントにはパスワードの再試行回数に制限はなく、連続してサインインに失敗しても Alibaba Cloud アカウントはロックされません。 |
[無効] |
最大 5 回の試行を推奨します。 |
|
[API でのパスワード設定時に危険なパスワードをブロック] |
有効にすると、システムは CreateLoginProfile、UpdateLoginProfile、または ChangePassword API 呼び出しの |
[無効] |
この設定を有効にする前に、既存の自動化スクリプトやプログラムを確認し、それらが設定するパスワードがリスク評価に合格できることを確認してください。この機能を有効にすると、弱いパスワードを設定しようとする API 呼び出しは失敗し、ユーザー作成やパスワードリセットのワークフローが中断される可能性があります。 |
RAM ユーザーのアカウントが、サインインの連続失敗回数が上限を超えたためにロックされた場合、次のいずれかの方法でアカウントのロックを解除できます。
-
ロックアウトの期限が切れるのを待つ：アカウントは 1 時間後に自動的にロック解除されます。その後、ユーザーは正しいパスワードで再度サインインできます。
-
ユーザーのパスワードをリセットする：ロックアウト期間中に、Alibaba Cloud アカウントの所有者または RAM 管理者は、RAM ユーザーのログインパスワードをリセットできます。パスワードをリセットすると、アカウントはすぐにロック解除されます。詳細については、「RAM ユーザーのログインパスワードの変更」をご参照ください。