Security Center:パスワードセキュリティの強化

システム

手順

Linux システム

passwd <UserName> コマンドを実行して、ユーザーのパスワードを変更します。プロンプトが表示されたら、新しいパスワードを入力します。

<UserName> を省略した場合、現在のユーザーのパスワードが変更されます。

Windows システム

以下の手順は、Windows Server 2019 を例として説明しています。

1. Windows サーバーにログインし、左下隅の アイコンをクリックします。

2. アイコンをクリックします。Windows 設定ページで、アカウント をクリックします。

3. 左側のナビゲーションウィンドウで、サインインオプション をクリックします。

4. 画面の指示に従って、サーバーパスワードを変更します。

MySQL データベース

1. MySQL データベースにログインします。

2. 次のコマンドを実行して、ユーザーのパスワード情報を表示します。

   SELECT user, host, authentication_string FROM user;

   説明

   一部の MySQL バージョンでは、このコマンドがサポートされていない場合があります。パスワード情報が返されない場合は、代わりに次のコマンドを実行してください。

   SELECT user, host, password FROM user; 

3. 次のコマンドを実行して、対象ユーザーのパスワードを変更します。

   ALTER USER '<UserName>'@'<HostName>' IDENTIFIED BY '<NewPassword>';

4. flush privileges; コマンドを実行して、変更を適用します。

Redis データベース

1. Redis の設定ファイル redis.conf を開きます。

2. 次のコマンドを実行して、パスワードを設定または変更します。

   requirepass <NewPassword>

   このコマンドは、既存のパスワードを変更するか、パスワードが存在しない場合は新しいパスワードを設定します。

3. Redis サービスを再起動します。

SQL Server データベース

• Linux システムログイン

  SQL Server データベースにログインし、次のコマンドを実行してログインパスワードを変更します。

  EXEC sp_password @old=N'<OldPassword>', @new=N'<NewPassword>', @loginame=N'<UserName>';

• Windows 認証

  SQL Server データベースクライアントで、 に移動し、ユーザーを選択して、弱いパスワードを強力なパスワードに置き換えます。

MongoDB データベース

1. MongoDB データベースにログインします。

2. use admin コマンドを実行して、admin データベースに切り替えます。

3. db.changeUserPassword("<UserName>", "<NewPassword>") コマンドを実行して、ユーザーのパスワードを変更します。

   12 文字以上で、数字、大文字、小文字、特殊文字を含む強力なパスワードを設定してください。

4. 認証が有効になっていることを確認します。

   MongoDB の設定ファイル mongod.conf で、security.authorization を enabled に設定するか、auth パラメーターを true に設定します。

5. systemctl restart mongod コマンドを実行して、MongoDB サービスを再起動します。

PostgreSQL データベース

1. PostgreSQL データベースにログインします。

2. 次のコマンドを実行して、弱いパスワードを変更します。

   ALTER USER <UserName> WITH PASSWORD '<NewPassword>';

Tomcat

1. Tomcat のルートディレクトリにある conf/tomcat-user.xml 設定ファイルを開きます。

2. 対象ユーザーのノードについて、password 属性の値を強力なパスワードに変更します。

Rsync

1. Rsync の設定ファイル rsyncd.conf を開きます。

2. secrets file パラメーターを確認し、rsyncd.secret ファイルのパスを見つけます。

3. rsyncd.secret ファイルを編集します。対象ユーザーについて、<UserName>:<NewPassword> 形式で新しい強力なパスワードを設定します。

4. Rsync サービスを再起動します。

SVN

1. リポジトリディレクトリを開きます。

2. <path>/conf/svnserve.conf 設定ファイルで、password-db パラメーターを確認します。

3. password-db パラメーターの値を使用してパスワード設定ファイル (デフォルトでは passwd ファイル) を見つけ、そのファイル内のパスワードを変更します。

4. SVN サービスを再起動します。

vsftpd

• ローカルユーザー

  1. vsftpd.conf 設定ファイルを開きます。

  2. anonymous_enable パラメーターを追加または変更し、その値を NO に設定して、匿名ログインを無効にします。

  3. passwd <UserName> コマンドを実行して、FTP ユーザーのパスワードを変更します。

  4. プロンプトに従って、新しい強力なパスワードを設定します。

• 仮想ユーザー

  1. /etc/vsftpd/login.txt ファイルを開きます。

  2. 対応するユーザー名のパスワードを変更し、ファイルを保存します。

     このファイルは交互の行形式で、奇数行にユーザー名、偶数行にパスワードが記述されています。

  3. db_load -T -t hash -f /etc/vsftpd/login.txt /etc/vsftpd/login.db コマンドを実行します。

  4. /etc/pam.d/vsftpd ファイルを編集します。

     auth pam_userdb.so および account pam_userdb.so を含む行の後に、db=/etc/vsftpd/login ステートメントを追加します。正しい配置については、次の図を参照してください。編集後、ファイルを保存します。

  5. vsftpd を再起動します。

FTP

1. root ユーザーとして対象の Linux サーバーにログインします。

2. 次のコマンドを実行します。

   passwd <UserName>

3. プロンプトに従って、新しいパスワードを入力します。

   成功メッセージが表示されます：all authentication tokens updated successfully。

InfluxDB データベース

1. InfluxDB データベースにログインします。

2. 次のコマンドを実行して、データベースのパスワードを変更します。

   NewPassword を、一重引用符で囲んだ新しいパスワードに置き換えてください。

   set password for "<UserName>" = '<NewPassword>' 

JBoss 6 および 7

• JBoss 6:

  1. /conf/props/jmx-console-users.properties 設定ファイルを編集します。<UserName>=<Password> 形式で、弱いパスワードを変更します。

  2. JBoss 6 を再起動します。

     1. ps -ef|grep jboss を実行して、現在の JBoss 6 プロセスを確認します。

     2. kill -9 <Process_ID> を実行して、プロセスを停止します。

        <Process_ID> は、JBoss 6 のプロセス ID に置き換えてください。

     3. 次のコマンドを実行して、JBoss サービスを起動します。

        <jboss6_path> は、JBoss 6 のインストールディレクトリに置き換えてください。

         <jboss6_path>/bin/run.sh

• JBoss 7:

  1. /configuration/mgmt-users.properties 設定ファイルを編集し、弱いパスワードを持つユーザーのエントリを削除します。

  2. JBoss のインストールパスで bin/adduser.sh を実行し、プロンプトに従って強力なパスワードを持つ新しいユーザーを追加します。

Jenkins

1. Jenkins Web コンソールにログインします。

2. 設定 をクリックして、設定 ページを開きます。

3. パスワード フィールドに、新しいパスワードを入力します。

OpenLDAP

1. 次のコマンドを実行して、OpenLDAP 管理者パスワードフィールドの値と場所を照会します。

   ldapsearch -H ldapi:// -LLL -Q -Y EXTERNAL -b "cn=config" "(olcRootDN=*)" dn olcRootDN olcRootPW

2. 次のコマンドを実行して、新しいパスワードを生成します。

    slappasswd -s <NewPassword>

   このコマンドは、新しいパスワードのハッシュ値 (NewHash) を返します。

3. newpassword.ldif という名前の新しいファイルを作成し、ファイルに次の内容を追加します。

   dn: olcDatabase={2}hdb,cn=config
   changetype: modify
   replace: olcRootPW
   olcRootPW: NewHash

   dn 行の値は、最初の照会コマンドで返された dn 値です。NewHash は、新しいパスワードのハッシュ値です。

4. 次のコマンドを実行して、新しい ldif ファイルをインポートします。

   ldapmodify -H ldapi:// -Y EXTERNAL -f newpassword.ldif

Linux 上の OpenVPN

OpenVPN のパスワードを変更するには、pwd-file 設定ファイルを編集します。

1. pwd-file 設定ファイルの場所を特定します。通常、このファイルは /etc/openvpn ディレクトリにあります。

2. 設定ファイルに次のステートメントを追加して、クライアント証明書認証を無効にします。

   client-cert-not-required

3. 設定ファイルに次のステートメントを追加して、ユーザーパスワードスクリプトを有効にします。

   auth-user-pass-verify /etc/openvpn/checkpsw.sh via-env

4. 設定ファイルに次のステートメントを追加して、システム警告を抑制します。

   script-security 3

5. /etc/openvpn/psw-file ファイルを編集します。各行が 1 つのアカウントに対応し、ユーザー名とパスワードはスペースで区切られています。例：

   cat /etc/openvpn/psw-file 
   abcdocker <NewPassWord>
   abc <NewPassWord>
   test <NewPassWord>

6. 次のコマンドを実行して、checkpsw.sh スクリプトを取得します。

   wget http://openvpn.se/files/other/checkpsw.sh

   説明

   デフォルトでは、checkpsw.sh は /etc/openvpn/psw-file ファイルからユーザー名とパスワードを読み取ります。

Oracle データベース

1. Oracle データベースにログインします。

2. 次のコマンドを実行して、パスワードを変更します。

   alter user <UserName> identified by <NewPassWord>;

pptpd

1. /etc/ppp/chap-secrets ファイルを編集します。

2. <UserName> pptpd <NewPassword> * 形式で、ユーザー名とパスワードを設定します。

   UserName、pptpd、NewPassword、* の各フィールドはタブで区切る必要があります。

3. pptp サービスを再起動します。

ProFTPD

次のコマンドを実行し、プロンプトが表示されたら新しいパスワードを入力します。

このコマンドの File_Path は、仮想ユーザーを格納するファイルのパスを指します。

ftpasswd --passwd --name=<UserName> --change-password --file=File_Path

RabbitMQ

次のコマンドを実行して、弱いパスワードを変更します。

rabbitmqctl change_password <UserName> '<NewPassword>'

VncServer

1. VncServer がシャットダウンされていることを確認し、サーバー上の VncServer インストールディレクトリに移動します。

   弱いパスワードが root ユーザーのものでない場合は、パスワードを変更する必要のあるユーザーにログインまたは切り替えます。たとえば、ユーザーが aliuser の場合、su - aliuser コマンドを実行します。

2. インストールディレクトリから passwd ファイルを削除します。たとえば、/home/aliuser/.vnc/passwd を削除します。

3. vncpasswd コマンドを実行して、パスワードをリセットします。

   重要

   VncServer はパスワードの先頭 8 文字のみを検証します。たとえば、新しいパスワードを Aliyunpasswd に設定した場合、有効になるのは先頭 8 文字の Aliyunpa のみです。有効なパスワードが複雑性要件を満たしていない場合、解読されるリスクが高くなります。パスワードが複雑性要件を満たしていることを確認してください。

WebLogic 12c

1. WebLogic Server 管理コンソールにログインします。

2. 左側のナビゲーションウィンドウで、 を選択します。

3. パスワードを変更するユーザーを選択します。

4. パスワード ページで、新しいパスワードを入力および確認し、保存 をクリックします。

5. コンソールの左上隅にある 変更センター に 変更のアクティブ化 が表示されている場合は、変更のアクティブ化 をクリックします。

6. サーバーにログインし、%DOMAIN_HOME%/servers/AdminServer/security/boot.properties 設定ファイルで対象ユーザーの password フィールドを修正します。

   このパスワードは、WebLogic コンソールで設定したものと一致している必要があります。修正後、パスワードは自動的に AES 暗号化されます。

7. %DOMAIN_HOME%/bin/stopWeblogic.sh コマンドを実行して WebLogic を安全に停止し、その後再起動します。

ActiveMQ

1. 設定ファイルディレクトリ activemq_path/conf/ に移動します。

   ここで、activemq_path はアプリケーションのインストールパスです。

2. vim jetty-realm.properties コマンドを実行して、設定ファイルを編集します。

3. ユーザーを追加または変更します。

   ユーザー名とパスワードを変更する形式は <UserName>: <NewPassword>,RoleName です。ここで、RoleName はロールです。例：admin: passwd123!@#, admin。

4. 変更を保存して終了し、サービスを再起動します。

Elasticsearch

次のコマンドを実行して、ユーザーのパスワードを変更します。

ここで、ES_HOME_PATH は Elasticsearch のインストールパス、passwd は新しいパスワードです。

ES_HOME_PATH/bin/elasticsearch-users passwd <UserName>

Samba

1. smbpasswd <UserName> コマンドを実行して、ユーザーのパスワードを変更します。

2. プロンプトが表示されたら、新しいパスワードを入力します。

Zabbix

1. 管理者アカウントで Zabbix Web コンソールにログインします。

2. 上部のメニューバーで、 を選択して、ユーザー一覧を表示します。

3. 対象ユーザーの名前をクリックし、パスワードの変更 をクリックします。

4. 新しいパスワードを入力し、更新 をクリックします。