6.5. IdM グループへの追加のパスワードポリシーオプションの適用

手順

1. マネージャー グループのユーザーが提案するすべての新しいパスワードに、ユーザー名の確認を適用します。

   $ ipa pwpolicy-mod --usercheck=True managers

   注記

   パスワードポリシーの名前を指定しないと、デフォルトの global_policy が変更されます。

2. マネージャー パスワードポリシーで、同一の連続した文字の上限を 2 に設定します。

   $ ipa pwpolicy-mod --maxrepeat=2 managers

   パスワードに、同一の連続した文字が 2 文字を超える場合は、パスワードが使用できなくなります。たとえば、eR873mUi111YJQ の組み合わせは、連続して 3 つの 1 を含むため、使用できません。

検証

1. test_user という名前のテストユーザーを追加します。

   $ ipa user-add test_user
   First name: test
   Last name: user
   ----------------------------
   Added user "test_user"
   ----------------------------

2. テストユーザーを マネージャー グループに追加します。

   1. IdM Web UI で、Identity → Groups → User Groups をクリックします。
   2. managers をクリックします。
   3. Add をクリックします。
   4. Add users into user group 'managers' ページで、test_user をチェックします。
   5. > 矢印をクリックして、ユーザーを Prospective 列に移動します。
   6. Add をクリックします。

3. テストユーザーのパスワードをリセットします。

   1. Identity → Users に移動します。
   2. test_user をクリックします。
   3. Actions メニューで、Reset Password をクリックします。
   4. ユーザーの一時パスワードを入力します。

4. コマンドラインで、test_user の Kerberos Ticket-Granting Ticket (TGT) を取得してみてください。

   $ kinit test_user

   1. 一時パスワードを入力します。

   2. パスワードを変更する必要があることがシステムから通知されます。test_user のユーザー名を含むパスワードを入力します。

      Password expired. You must change it now.
      Enter new password:
      Enter it again:
      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.

      注記

      Kerberos には、詳細なエラーパスワードポリシーの報告はなく、特定のケースでは、パスワードが拒否された理由を明確に示していません。

   3. 入力したパスワードが拒否されたことがシステムから通知されます。連続して 3 文字以上の同一文字を含むパスワードを入力します。

      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.
      
      Enter new password:
      Enter it again:

   4. 入力したパスワードが拒否されたことがシステムから通知されます。マネージャー パスワードポリシーの基準を満たすパスワードを入力します。

      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.
      
      Enter new password:
      Enter it again:

5. 取得した TGT を表示します。

   $ klist
   Ticket cache: KCM:0:33945
   Default principal: test_user@IDM.EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   07/07/2021 12:44:44  07/08/2021 12:44:44  krbtgt@IDM.EXAMPLE.COM@IDM.EXAMPLE.COM