ご利用の Alibaba Cloud アカウント内のすべての RAM ユーザーのログインセキュリティを強化し、企業のセキュリティおよびコンプライアンス要件を満たすために、すべての RAM ユーザーに対して統一されたパスワードポリシーを設定できます。このポリシーには、パスワードの長さ、パスワードの有効期間、パスワード履歴のチェックなどのルールを含めることができます。このトピックでは、パスワードポリシーの設定方法と推奨事項について説明します。
パスワードポリシーはアカウントレベルのグローバル設定です。変更すると、現在の Alibaba Cloud アカウント内のすべての RAM ユーザーに影響します。Resource Access Management (RAM) は、ユーザーグループや個人ユーザーごとに異なるパスワードポリシーをサポートしていません。
注意事項
パスワードポリシーを設定する前に、以下の点にご注意ください。
-
ポリシーの適用範囲：パスワードポリシーは、ユーザー名とパスワードを使用してコンソールにログインする RAM ユーザーにのみ適用されます。AccessKey を使用したプログラムによるアクセスには影響しません。
-
ポリシー変更の適用タイミング：パスワードポリシーを変更した後 (たとえば、必須のパスワード長を増やしたり、有効期限を設定したりした場合)、既存のユーザーはすぐにパスワードの変更を強制されるわけではありません。新しいポリシーは、ユーザーが次回パスワードを変更する際 (ログイン時にプロンプトが表示された場合、または手動でリセットした場合) に適用されます。
-
特殊なログインシナリオ：
-
シングルサインオン (SSO) 連携：企業が ID プロバイダー (IdP) を使用して Alibaba Cloud との SSO 連携を行っている場合、RAM ユーザーのログインパスワードを設定する必要はありません。これらの RAM ユーザーにパスワードを設定する場合、パスワードはこのポリシーに準拠する必要があり、SSO が無効になった場合にログインに使用できます。
-
Alibaba Cloud は、お客様のパスワードをプレーンテキストで保存しません。代わりに、一方向暗号化によって生成されたソルト付きハッシュ値を保存します。この値は元のパスワードを明らかにすることができないため、パスワードの安全性が確保されます。
操作手順
ルートアカウントまたは RAM の管理者権限 (AliyunRAMFullAccess) を持つ RAM ユーザーとして、すべての RAM ユーザーに対して統一されたパスワードポリシーを設定または変更できます。
コンソール
-
RAM コンソールにログインします。
-
Settings ページで、Password Policy セクションで Modify をクリックしてパスワードルールを設定します。
-
OK をクリックします。
API
-
GetPasswordPolicy を呼び出して、現在のパスワードポリシーを表示します。
-
SetPasswordPolicy を呼び出して、パスワードポリシーを変更します。
パスワードポリシーのパラメーター
|
パラメーター |
説明 |
デフォルト |
推奨事項 |
|
Length |
パスワードの最小文字数。有効な値は 8～32 です。 |
8 |
|
|
Charset |
パスワードに含める必要がある文字タイプを指定します。大文字、小文字、数字、特殊文字の中から 1 つ以上を必須にできます。 |
無効 |
少なくとも 3 種類の文字タイプを選択することを推奨します。 |
|
Different Characters |
パスワードに必須の異なる文字の最小数。最大値は 8 です。たとえば、これを 3 に設定した場合、 |
無効 |
文字の繰り返しで構成される弱いパスワードを防ぐために、この値を 4 以上に設定します。 |
|
Do Not Contain Username |
パスワードにユーザー名が含まれることを禁止します。 |
無効 |
この設定を有効にすることを推奨します。 |
|
パスワード期限切れ後、ログインを拒否 |
パスワードの有効期限が切れたユーザーが、パスワードを変更するためにコンソールにログインできるかどうかを指定します。有効にすると、ユーザーはログインをブロックされ、管理者に連絡してパスワードをリセットしてもらう必要があります。 |
無効 |
Password Max Age または Initial Password Max Age を設定すると、一部のパスワードが直ちに有効期限切れになる可能性があります。サインインの中断を避けるため、これらの有効期間を調整している間は、この設定を有効にしないことを推奨します。 |
|
Password Max Age |
パスワードが有効期限切れになるまでの使用可能な日数。最大は 1095 日です。 説明
パスワードをリセットすると、有効期間が再開されます。 |
無効 |
90 日以下の期間を推奨します。 |
|
Initial Password Max Age |
初期パスワードが有効な日数。ユーザーがこの期間内に初めてログインしない場合、パスワードは有効期限切れになります。 期間は 0～90 日で設定できます。値 0 はこのポリシーを無効にします。 |
14 日 |
デフォルトの 14 日間を維持することを推奨します。初期パスワードの有効期間は、パスワードの有効期間を超えないようにしてください。 |
|
Do Not Repeat History |
ユーザーが過去 N 回のパスワードを再利用することを禁止します。N の最大値は 24 です。 |
無効 |
|
|
Max Attempts |
1 時間以内に連続してログインに失敗した回数がこの値に達すると、アカウントが 1 時間ロックされます。最大値は 32 です。 説明
パスワードをリセットすると、ログイン失敗のカウントがクリアされます。 |
無効 |
最大 5 回の試行を推奨します。 |
|
BlockRiskPasswordFromAPI |
有効にすると、CreateLoginProfile、UpdateLoginProfile、または ChangePassword API 呼び出しの |
無効 |
この設定を有効にする前に、既存の自動化スクリプトやプログラムを確認し、それらが設定するパスワードがリスクアセスメントに合格できることを確認してください。この機能が有効になると、弱いパスワードを設定しようとする API 呼び出しは失敗し、ユーザー作成やパスワードリセットのワークフローが中断される可能性があります。 |