グローバルパスワードポリシー リファレンス
グローバルパスワードポリシー画面のすべての項目 — パスワードの条件、有効期限と再利用、 自動ログアウトとアカウントロック、ユーザー自己登録 — が何をするもので、いつ変える 価値があるか。
1つの画面に4つのセクション、そのすべてがテナント全体に効きます。建物ごと、 グループごとの版はありません。ここにあるものはすべて Offision のパスワード を対象としており、Microsoft 365、Google、LDAP、Active Directory でのサインインは どれも対象外です。その理由は サインインのセキュリティの仕組み を参照してください。
グローバルパスワードポリシー
パスワードが満たすべき条件です。パスワードが設定されるたびに確認されます — 本人が 設定するときも、管理者が設定するときも、自己登録のときも同じです。
文字種のルール。Offision が保存するパスワードは、そのすべてを満たす必要があります。
| 設定 | 何をするか | 変更するとき |
|---|---|---|
| 最小文字数 | Offision が保存する最も短いパスワード。6〜30 | 実際の安全性は複雑さより長さで決まります。受け入れてもらえるなら、8より12のほうが良い既定値です |
| 小文字が必要 | パスワードに a–z を1文字以上含める | 有効のままにします。無効にしても得るものはありません |
| 大文字が必要 | パスワードに A–Z を1文字以上含める | 有効のままにします |
| 数字が必要 | パスワードに 0–9 を1文字以上含める | 有効のままにします |
| 特殊文字が必要 | #?!@$%^&*-()[]{}_,.:;><+|~'" のいずれかを1文字含める | セキュリティ規程で求められる場合に有効にします。末尾に ! を付けて回避されがちなルールなので、たいていは最小文字数を上げるほうが効果的です |
パスワード変更ポリシー
パスワードがどれだけ有効か、そして古いものを再び使えるかどうか。
| 設定 | 何をするか | 変更するとき |
|---|---|---|
| ユーザーに新しいパスワードを設定するよう要求する | 有効期限を有効にします。オフならパスワードは無期限です | 定期的な有効期限は現在の指針では推奨されません。予測しやすい変形を招くためです。外部の規程で求められる場合に有効にし、既定では使わないでください |
| 新しいパスワードが必要になる間隔 | 月数、1〜12。その期間を過ぎて最初にサインインした時点でパスワード変更画面に送られ、終えるまで他へは進めません | 3か月は厳しめです。どうしても有効期限が必要なら12のほうが穏当です |
| ユーザーが以前使用したパスワードを再利用することを防ぐ | 過去のパスワードを記憶し、同じものを拒否します | 有効期限と併せて有効にします。これがないと、有効期限は2つのパスワードを交互に使わせるだけになります |
| 再利用を禁止する過去のパスワード数 | 直近いくつまで拒否するか、1〜4 | 使う価値があるのは最大値です。3か月ごとに変更する人が4つを一巡するには1年かかります |
ログイン設定
放置されたセッションと、パスワードを間違えた人に何が起きるか。
自動ログアウトとアカウントロック。それぞれの数値は、スイッチを入れると現れます。
| 設定 | 何をするか | 変更するとき |
|---|---|---|
| ユーザーの自動ログアウトを有効にする | キーボード・マウス・タッチの操作がない状態が一定時間続くとサインアウトさせます。これはサインイン時ではなくアプリの中で動くため、シングルサインオンを含む 全員 に適用されます | 共用端末や公共の端末では有効にします。この画面で唯一、全員のセッションを一度に短くできる設定です |
| ログアウトまでの無操作時間（分） | 5〜480 | 受付や共用デスクなら15。個人のノートPCで10未満にすると煩わしくなります |
| アカウントロックを有効にする | パスワードを一定回数間違えると、正しいパスワードでもしばらくサインインできなくなります。Offision のパスワードにのみ適用されます | 有効にします。パスワードを使うテナントにとって、この画面で最も役立つ設定です |
| ログイン失敗の最大回数 | 何回間違えるとロックがかかるか、1〜20。サインインに成功すると回数はリセットされます | 5なら普通の打ち間違いは吸収しつつ、推測による攻撃は止められます |
| ロックが続く時間（分） | ロックの長さ、1〜1440。その間、本人には残り何分かが表示されます。管理者は本人のレコードから早めに解除できます | 30あれば、サポートへの問い合わせを増やさずに推測を防げます |
ユーザー自己登録
外部の人が自分でアカウントを作れるかどうか。有効にしない限りオフです。
自己登録と、それを使えるメールドメイン。
| 設定 | 何をするか | 変更するとき |
|---|---|---|
| ユーザーが自分でアカウントを登録できるようにする | サインイン画面に アカウントを作成 のリンクを追加し、招待を待たずに自分のメールアドレスで登録できるようにします | 全員を事前に招待するのが現実的でないサイトで有効にします。許可するドメインも同時に設定してください |
| 承認モード | 新しい登録がいつ使えるようになるか。メール確認後に自動でアクティブ化 — 本人がアドレスを確認すれば利用開始です | 画面が提供するモードはこれだけです |
| 許可するメールドメイン（オプション） | カンマ区切りの一覧、例えば acme.com, partners.com。いずれかで終わるアドレスだけが登録できます。空欄ならすべてのアドレスを許可します | 自己登録を有効にしたまま空欄にしないでください。公開されたサインイン画面の開いたフォームは必ず見つけられます |
この画面では決まらないこと
- 2要素認証 は ユーザーセキュリティプロファイル で設定します。ここではありません。
- どこからサインインできるか — デスクトップブラウザ、iOS / Android ブラウザ、 iOS / Android アプリ、Outlook / Teams アドイン — と IP制限 も、 セキュリティプロファイルごとの設定です。
- すでに動いているセッションを終わらせること。 ここの設定はどれも誰かを サインアウトさせません。変更が効くのは次のサインインからです。デバイスの ログアウトは本人の ログインデバイス ページで行います。
- SSO のユーザーがどう入るか。 ロック、有効期限、再利用、文字種のルールは、 Microsoft 365、Google、LDAP、Active Directory でのサインインには一切届きません。 それらのルールはそのプロバイダーのコンソールで設定してください。
- 入った後に何ができるか。 それは権限とユーザーグループの話です。