製品ドキュメント
ADC
Current Release 13.0 12.1
PDFを表示

ユーザーアカウントとパスワード管理

June 20, 2023
寄稿者: 
C

NetScalerでは、ユーザーアカウントとパスワード構成を管理できます。 nsroot アプライアンスのシステムユーザーアカウントまたは管理ユーザーアカウントで実行できるアクティビティの一部を次に示します。

  • システムユーザーアカウントのロックアウト
  • システムユーザーアカウントをロックして管理アクセスできるようにする
  • ロックされたシステムユーザーアカウントのロックを解除して管理アクセスできるようにする
  • システムユーザーアカウントの管理アクセスを無効にする
  • nsroot 管理者ユーザーのパスワード変更を強制
  • システムユーザーアカウントの機密ファイルを削除する
  • システムユーザー向けの強力なパスワード設定

システムユーザーアカウントのロックアウト

ブルートフォースセキュリティ攻撃を防ぐために、ユーザーロックアウト設定を構成できます。この構成により、ネットワーク管理者はシステムユーザーがNetScalerアプライアンスにログオンできないようにすることができます。また、ロック期間が切れる前にユーザーアカウントのロックを解除してください。

コマンドプロンプトで入力します。

set aaa parameter -maxloginAttempts <value> -failedLoginTimeout <value> -persistentLoginAttempts (ENABLED | DISABLED)

注

再起動後に失敗したユーザーログイン試行の詳細を永続的に保存するには、「PersistentLoginAttempts」パラメータを有効にする必要があります。

例:

set aaa parameter -maxloginAttempts 3 -failedLoginTimeout 10 -persistentLoginAttempts ENABLED

GUI を使用してシステムユーザーアカウントのロックアウトを設定します

  1. [ 設定] > [セキュリティ] > [AAA アプリケーショントラフィック] > [認証設定] > [認証 AAA 設定の変更] に移動します。

  2. AAA パラメータの設定ページで 、次のパラメータを設定します。

    1. 最大ログイン試行回数。ユーザーが試すことができる最大ログオン試行回数。
    2. ログイン失敗タイムアウト。ユーザーによる無効なログオン試行の最大回数。
    3. 永続的なログインの試行。リブート後も失敗したユーザーのログイン試行を永続的に保存できます。

  3. ［OK］ をクリックします。

    システムユーザーアカウントロックアウトの GUI 設定

パラメータを設定すると、3 回以上ログインを試みると、ユーザーアカウントは 10 分間ロックされます。また、ユーザーは有効な認証情報を使用しても 10 分間ログオンできません。

注

ロックされたユーザーがアプライアンスにログオンしようとすると、 RBA Authentication Failure: maxlogin attempt reached for test. エラーメッセージが表示されます。

システムユーザーアカウントをロックして管理アクセスできるようにする

NetScalerアプライアンスでは、システムユーザーを24時間ロックし、ユーザーへのアクセスを拒否できます。

NetScalerアプライアンスは、システムユーザーと外部ユーザーの両方の構成をサポートします。

注

この機能は、aaaパラメータのpersistentLoginAttemptsオプションを無効にした場合にのみサポートされます。

コマンドプロンプトで次のように入力します。

set aaa parameter –persistentLoginAttempts DISABLED

ここで、ユーザーアカウントをロックするには、コマンドプロンプトで次のように入力します。

lock aaa user test

GUI を使用してシステムユーザーアカウントをロックする

  1. [ 設定] > [セキュリティ] > [AAA アプリケーショントラフィック] > [認証設定] > [認証 AAA 設定の変更] に移動します。

    システムユーザアカウントをロックする GUI 手順

  2. 「 AAA パラメータの設定」の「 持続的ログイン試行回数 」リストで、「 無効」を選択します。
  3. ［System］>［User Administration］>［Users］の順に選択します。
  4. ユーザーを選択します。

  5. 「アクションの選択」リストで、「 ロック」を選択します。

    ロックオプションを選択

注

NetScaler GUIには、外部ユーザーをロックするオプションはありません。外部ユーザーをロックするには、ADC 管理者は CLI を使用する必要があります。 ロックされたシステムユーザー（ロック認証、承認、および監査ユーザーコマンドでロックされている）がNetScalerにログインしようとすると、アプライアンスは「RBA認証失敗：ユーザーテストは24時間ロックダウンされています」というエラーメッセージを表示します。

ユーザーが管理アクセスにログオンするようにロックされている場合、コンソールアクセスは免除されます。ロックされたユーザーはコンソールにログオンできます。

ロックされたシステムユーザーアカウントのロックを解除して管理アクセスできるようにする

システムユーザーと外部ユーザーは、ロック認証、承認、および監査ユーザーコマンドを使用して 24 時間ロックできます。

注

ADCアプライアンスを使用すると、管理者はロックされたユーザーのロックを解除できます。この機能では、「PersistentLoginAttempts」コマンドで設定を行う必要はありません。

コマンドプロンプトで入力します。

unlock aaa user test

GUI を使用してシステムユーザーのロック解除を設定する

  1. ［System］>［User Administration］>［Users］の順に選択します。
  2. ユーザーを選択します。

  3. ロック解除] をクリックします。

    システムユーザーロック解除の設定

NetScaler GUIには、ADCで作成されたシステムユーザーのみが表示されるため、GUIには外部ユーザーのロックを解除するオプションはありません。外部ユーザーのロックを解除するには、 nsroot 管理者は CLI を使用する必要があります。

システムユーザーアカウントの管理アクセスを無効にする

アプライアンスで外部認証が設定されていて、管理者がシステムユーザーによる管理アクセスへのログオンを拒否したい場合、システムパラメータの LocalAuth オプションを無効にする必要があります。

コマンドプロンプトで、次のように入力します。

set system parameter localAuth <ENABLED|DISABLED>

例:

set system parameter localAuth DISABLED

GUI を使用してシステムユーザーへの管理アクセスを無効にする

  1. [ 構成] > [システム] > [設定] > [グローバルシステム設定の変更] に移動します。

  2. コマンドラインインターフェイス (CLI) セクションで、 ローカル認証チェックボックスを選択解除します 。

    システムユーザーへの管理アクセスを無効にする GUI プロシージャ

このオプションを無効にすると、ローカルシステムユーザーは ADC 管理アクセスにログオンできなくなります。

注

システムパラメータでローカルシステムユーザー認証を許可しないように、外部認証サーバーを設定し、アクセスできるようにする必要があります。ADC で管理アクセス用に設定された外部サーバーにアクセスできない場合、ローカルシステムユーザーはアプライアンスにログオンできます。この動作は回復を目的として設定されています。

管理者ユーザーのパスワード変更を強制

セキュリティで保護されたnsroot認証のため、システムパラメーターでforcePasswordChangeオプションが有効になっている場合、NetScalerアプライアンスはユーザーにデフォルトパスワードを新しいパスワードに変更するよう求めます。デフォルトのクレデンシャルを使用して、初回ログイン時に CLI または GUIからnsrootパスワードを変更できます。

コマンドプロンプトで入力します。

set system parameter -forcePasswordChange ( ENABLED | DISABLED )

NSIP の SSH セッションの例:

ssh nsroot@1.1.1.1
Connecting to 1.1.1.1:22...
Connection established.
To escape to local shell, press Ctrl+Alt+].
###############################################################################
WARNING: Access to this system is for authorized users only #
Disconnect IMMEDIATELY if you are not an authorized user! #

###############################################################################
Please change the default NSROOT password.
Enter new password:
Please re-enter your password:
Done
<!--NeedCopy-->

システムユーザーアカウントの機密ファイルを削除する

システムユーザーアカウントの認証キーや公開キーなどの機密データを管理するには、 removeSensitiveFiles オプションを有効にする必要があります。システムパラメータが有効になっているときに機密ファイルを削除するコマンドは次のとおりです。

  • rm cluster instance
  • rm cluster node
  • rm 高可用性ノード
  • コンフィグをクリア
  • join cluster
  • add cluster instance

コマンドプロンプトで入力します。

set system parameter removeSensitiveFiles ( ENABLED | DISABLED )

例:

set system parameter -removeSensitiveFiles ENABLED

システムユーザー向けの強力なパスワード設定

安全な認証のため、NetScalerアプライアンスはシステムユーザーと管理者に、アプライアンスにログオンするための強力なパスワードを設定するよう求めます。パスワードは長くなければならず、次の組み合わせでなければなりません。

  • 小文字を 1 つ
  • 大文字 1 文字
  • 1 つの数字
  • 1 つの特殊文字

コマンドプロンプトで入力します。

set system parameter -strongpassword <value> -minpasswordlen <value>

各項目の意味は次のとおりです。

Strongpassword。強力なパスワード (enable all / enablelocal) を有効にした後は、すべてのパスワードまたは機密情報に次のものが必要です。

  • 1 文字以上の小文字
  • 少なくとも 1 文字の大文字
  • 1 文字以上の数字
  • 少なくとも 1 つの特殊文字

enablelocalの除外リストは - NS_FIPS, NS_CRL, NS_RSAKEY, NS_PKCS12, NS_PKCS8, NS_LDAP, NS_TACACS, NS_TACACSACTION, NS_RADIUS, NS_RADIUSACTION, NS_ENCRYPTION_PARAMS。そのため、システムユーザーに対してこれらの ObjectType コマンドに対して強固なパスワードチェックは行われません。

指定できる値: enableall、 enablelocal、 無効デフォルト値:無効

minpasswordlen。システムユーザーパスワードの最小文字数。強力なパスワードがデフォルトで有効になっている場合、最小文字数は4です。ユーザーが入力した値は 4 以上でもかまいません。強力なパスワードが無効になっている場合、デフォルトの最小値は 1 です。どちらの場合も、最大値は 127 です。

最小値:1 最大値:127

例:

set system parameter -strongpassword enablelocal -minpasswordlen 6

既定のユーザーアカウント

nsrecover 管理者はユーザーアカウントを使用してNetScalerアプライアンスをリカバリできます。予期しない問題が発生してデフォルトのシステムユーザー（nsroot）がログインできない場合は、nsrecoverでADCアプライアンスにログインできます。 nsrecover ログインはユーザー設定とは無関係で、シェルプロンプトに直接アクセスできます。設定の上限に達していても、nsrecoverからいつでもログインできます。

ユーザーアカウントとパスワード管理
June 20, 2023
寄稿者: 
C
June 20, 2023
寄稿者: 
C

この記事の概要

サイトに関するフィードバック | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.