パスワードポリシーの構成

[この種のトピックには、コマンド、例、サンプルファイルなど、顧客にとって役立つあらゆるものが含まれます。]

概要

IBM Verify 複合ポリシーモデルを採用している。ユーザーに適用される実際のパスワードポリシーは、単にそのユーザーに直接割り当てられたポリシーそのものではなく、 デフォルト（グローバル） ポリシーと、そのユーザーに適用されるすべてのグループポリシー を組み合わせて計算されるものであり、構成要素となるすべてのポリシーの中から、各属性について最も制限の厳しい値が採用されます。

重要：適用されるポリシーとは、該当するすべてのポリシー属性の集合であり、各属性については最も制限の厳しい値が優先されます。「上書き」といった仕組みはなく、すべての方針が同時に適用されます。

有効なポリシーの算出方法

該当するポリシーを特定する。 デフォルトのポリシーは、常にすべてのユーザーに適用されます。ユーザーがそのグループのメンバーである場合、そのグループレベルのポリシーが適用されます。
すべての属性値を集めます。 各パスワード属性（最小文字数、複雑度、履歴、有効期限など）について、該当するすべてのポリシーから値を収集する。
最も厳しい値を適用する。 各属性について、すべてのポリシーの中で最も厳しい値が有効な値となります。例えば、最小長さの要件が最も長いものが勝ち、最大年齢の要件が最も短いものが勝ちとなります。
その結果が、ユーザーの実効ポリシーとなります。 この組み合わせは、ユーザーがパスワードを設定または変更する際に適用されるものです。

例

あるユーザーは「 Finance 」グループのメンバーです。以下の方針が適用されます：

属性	デフォルト・ポリシー	金融グループの方針	実効値
最小長	8	12	12 — 最低基準が高ければ高いほど、規制は厳しくなる
大文字の最小数	1	2	2 — 最低基準が高いほど、規制は厳しくなる
パスワード履歴	5	3	5 — 履歴が大きいほど制限が厳しくなる
パスワードの最大存続期間	180日間	90 日	90日間 — 有効期限が短いほど制限が厳しい

よくある誤解

注意：グループポリシーを割り当てても、デフォルトのポリシーが置き換えられたり上書きされたりすることはありません。これら2つのポリシーは常に組み合わせて適用されます。デフォルトのポリシーがどの属性においてもより厳格な場合、グループポリシーがより寛容な設定を意図していたとしても、そのより厳格な値が適用されます。

すべてのユーザーが「デフォルト」ポリシーに基づいて開始し、特定のグループ向けに制限の緩い新しいグループポリシーが作成されると、顧客はしばしば、そのグループポリシーが完全に適用されることを期待します。代わりに：

デフォルトのポリシーでより厳格に設定されている属性については、引き続きその設定が適用されます。
グループポリシーが「既定」 よりも厳格な属性のみが、結果に影響を与えます。
グループの属性について、デフォルトで許可されている範囲を超えて「緩和」する方法はありません。

推奨事項：デフォルトのポリシーを最も制限の少ないものにする

デフォルトポリシーは常にすべてのユーザーの実効ポリシーに組み込まれるため、これは「下限」として機能し、「フォールバック」として機能するものではありません。組織で必要とされる最低限の基準に合わせて設定し、その後、グループポリシーを使用して特定のグループに対してより厳しい要件を追加してください。

「デフォルトポリシー」を、組織全体で許容できる範囲内で最も制限の少ない設定に設定してください。
グループポリシーは、基準値を超える要件（パスワードの長さの延長、有効期限の短縮など） を設定する場合にのみ使用してください。
デフォルトポリシーで設定された制約を緩和するために、グループポリシーに頼ってはいけません。グループポリシーではそれができないからです。
グループに対して新しいポリシーを作成する際は、「デフォルトのポリシー属性」を並べて確認し、組み合わせた結果が意図した通りになっていることを確認してください。
グループごとに真に異なる（場合によってはより低い）要件が必要な場合は、まず「デフォルト」ポリシー属性を引き下げる必要があるかどうかを検討してください。

ヒント： デザインパターン： 「デフォルトポリシー」を普遍的な最低限の基準と見なし、「グループポリシー」をそれに上乗せされる追加のルールとして考えてください。各オーバーレイは、基準を引き上げることはあっても、決して引き下げることはありません。

要点のまとめ

デフォルトのポリシーは最低基準であり、代替案ではありません。 グループへの所属の有無にかかわらず、すべてのユーザーに対して常にコンポジットの対象となります。
グループポリシーでは、制限を追加することしかできません。 デフォルトポリシーで既に要求されている水準よりも、属性の要件を緩和する仕組みは存在しません。
該当するすべての方針が統合されています。 ユーザーが所属するすべてのグループがそれぞれのポリシーを反映し、各属性について、すべてのグループの中で最も制限の厳しい値が適用されます。
この問題を解決するには、デフォルトのポリシーを緩和する必要があります。 組織内で許容される最低限の基準に設定し、その上にグループポリシーを通じてより厳しい要件を重ねて適用します。
並行比較は不可欠です。 新しいグループポリシーを割り当てる前に、それを「既定」と比較し、適用されるポリシー全体が意図した結果と一致することを確認してください。