パスワード ポリシー

パスワード ポリシー画面では、管理者がセキュリティ ルールを定義できます。このルールは、ユーザーがパスワードを作成または変更する際に必ず従わなければならないもので、多要素認証（MFA）やアカウント ロックアウトなどの関連するアカウント セキュリティ コントロールとともに設定されます。

このガイドでは各設定について順を追って説明し、その機能や、画面に表示されている現在の設定に基づいてどのように動作するかを解説します。

a. パスワードの最小長

Password minimum length（パスワードの最小長） フィールドは、ユーザーが設定できる最短のパスワードを制御します。アカウントの作成、パスワードのリセット、またはパスワードの変更時に、この値よりも短いパスワードを設定しようとすると拒否されます。

現在の設定では、この値は 8 文字 に設定されています。つまり、Ab1!（4文字）のようなパスワードは短すぎるため拒否されますが、Passw0rd!（9文字）のようなパスワードはこのチェックを通過します。

ヒント: 一般的に、8文字はセキュリティ上許容される最低限の基準と考えられています。10～12文字に増やすと、ブルートフォース（総当たり）攻撃のリスクをさらに減らすことができます。

b. パスワードの強度

このセクションでは、パスワードに含めなければならない文字の構成を定義します。現在の設定では、以下の4つの要件がすべてオンになっています。つまり、パスワードが受け入れられるには、これらすべてを同時に満たす必要があります。

• Require at least one uppercase letter (A–Z)（少なくとも 1 つの大文字 (A-Z) を必須とする） — パスワードには、Akabot の A のように、少なくとも 1 つの大文字のラテン文字を含める必要があります。
• Require at least one lowercase letter (a–z)（少なくとも 1 つの小文字 (a-z) を必須とする） — パスワードには、Akabot の kabot のように、少なくとも 1 つの小文字のラテン文字を含める必要があります。
• Require at least one number（少なくとも 1 つの数字を必須とする） — パスワードには、2026 のように、少なくとも 1 つの数字を含める必要があります。
• Require at least one non-alphanumeric character（少なくとも 1 つの英数字以外の文字を必須とする） — パスワードには、!、@、#、$ などの特殊文字を少なくとも 1 つ含める必要があります。

4 つのルールすべてを満たすパスワードの例: Akabot@2026 — 大文字（A）、小文字（kabot）、数字（2026）、特殊文字（@）が含まれています。

拒否されるパスワードの例: akabot2026 — 大文字と特殊文字の両方が欠けているため、4 つの要件のうち 2 つを満たしていません。

ヒント: これらのチェックボックスの 1 つ以上をオフにすると、ルールが緩和され、より単純なパスワードが許可されます。組織に特別な理由がない限り、これは一般的に推奨されません。

c. 多要素認証（MFA）

Enable MFA（MFA を有効にする） 設定をオンにすると、ログイン時にパスワードに加えて、2 つ目の要素（認証アプリや OTP コードなど）でユーザーが本人確認を行う機能が有効になります。現在の設定では、これはオンになっています。

MFA を有効にすると、MFA requirement（MFA の要件） オプションで適用をどれほど厳格に行うかを次の 2 つから決定します。

• Enforce MFA for all users（すべてのユーザーに MFA を強制する） — すべてのユーザーは、システムにアクセスする前に MFA を設定して使用することが必須になります。MFA をまだ設定していないユーザーは、次回のログイン時に設定を求められ、設定が完了するまで先に進むことができません。
• Allow users to enable MFA（ユーザーに MFA の有効化を許可する） — MFA はオプトイン（選択式）のオプション機能になります。追加の保護が必要な場合、ユーザーは個人のセキュリティ設定から自分のアカウントに対して MFA をオンにすることができますが、誰にも強制されません。

現在の設定では、"Allow users to enable MFA（ユーザーに MFA の有効化を許可する）" が選択されています。実際には、これは MFA を使用したい人は誰でも利用できることを意味しますが、パスワードのみでのログインも引き続き許可されます。システムはすべてのユーザーに 2 つ目の要素の設定を強制することはありません。

注意: 組織ですべてのアカウントが 2 番目の認証要素で保護されていることを保証する必要がある場合（機密データを扱う場合など）は、これを "Enforce MFA for all users（すべてのユーザーに MFA を強制する）" に切り替えてください。

以下の 2 つのセクションでは、それぞれのシナリオでエンド ユーザーにどのような変化が起きるかを詳しく説明します。

c.1 「Enforce MFA for all users（すべてのユーザーに MFA を強制する）」が選択された場合の動作

このポリシーが有効になると、すべてのユーザーはシステムにアクセスする前、次回のログイン時に MFA を設定するよう求められます。

1. 通常どおり、ユーザー名とパスワードでログインします。

2. 画面に表示される QR コードを、スマートフォン上の認証アプリ（Google Authenticator、Microsoft Authenticator など）でスキャンします。スキャンできない場合は、Manual Entry（手動入力） を選択し、画面に表示される Secret Key（シークレット キー）を入力します。

   

3. アプリで生成された 2 つの連続するコードを入力して設定を確認します。最初のフィールドに現在のコードを入力し、アプリが新しいコードを生成するまで約 30 秒待ってから、次のフィールドに 2 つ目のコードを入力します。

4. Verify（検証） をクリックして設定を完了します。

5. (推奨) 画面に表示される Backup Codes（バックアップ コード） を安全な場所に保存してください。これは、認証アプリにアクセスできなくなった場合にログインできるようにするものです。Copy All（すべてコピー） してパスワード マネージャーや安全なファイルに保存するか、ファイルとして Download（ダウンロード） することができます。

   

6. Login（ログイン） をクリックして設定を終了し、システムに入ります。何らかの理由で認証アプリにアクセスできない場合は、ライブ コードの代わりに保存したバックアップ コードの 1 つを使用できます。

c.2 「Allow users to enable MFA（ユーザーに MFA の有効化を許可する）」が選択された場合の動作

このモードでは MFA はオプションであるため、ログイン時に自動的にトリガーされることはありません。代わりに、管理者が特定のユーザーに対してオンにするか、ユーザーが自分自身でオンにすることができます。

管理者として特定のユーザーに対して MFA を有効にする：

1. 管理者アカウントで Akabot Center にログインします。

2. Administration（管理） → Users（ユーザー） に移動します。

3. ユーザー リストから、MFA を有効にしたいアカウントを選択します。

4. アカウントの詳細を開き、Action（アクション） ボタンをクリックします。

   

5. Edit（編集） を選択します。

   

6. Update a User（ユーザーの更新） 画面で、MFA のトグル スイッチを Off（オフ） から On（オン） に切り替えます。

   

7. Save（保存） をクリックして確認します。これで、ユーザーは次回のログイン時に MFA の設定（QR コードのスキャン、認証コードの入力、およびバックアップ コードの保存）を完了することが必須になります。

ユーザーとして自分のアカウントの MFA を有効にする：

1. Akabot Center にログインします。

2. My Profile（マイ プロファイル） をクリックします。

   

3. Multi-Factor Authentication（多要素認証） を選択します。

   

4. 多要素認証画面で、トグル スイッチを切り替えて MFA を有効にします。

   

5. 画面に表示される QR コードを、スマートフォン上の認証アプリ（Google Authenticator、Microsoft Authenticator など）でスキャンします。スキャンできない場合は Manual Entry（手動入力） を選択し、シークレット キーを入力します。

   

6. アプリで生成された 2 つの連続するコードを入力します。最初に現在のコードを入力し、約 30 秒待ってアプリが更新されたら、次に表示されるコードを入力します。

7. Verify（検証） をクリックして設定を完了します。

8. 画面に表示される Backup Codes（バックアップ コード） をコピーしてパスワード マネージャーやファイルに保存するか、ダウンロードして保存します。その後、Save（保存） をクリックして終了します。

   

ユーザーとして自分のアカウントの MFA を無効にする：

1. Akabot Center にログインします。

2. My Profile（マイ プロファイル） をクリックします。

   

3. Multi-Factor Authentication（多要素認証） を選択します。

   

4. 多要素認証画面で、トグル スイッチをオフに切り替え、確認して MFA を無効にします。

   

c.3 MFA の管理とトラブルシューティング

ユーザーの MFA をリセットする（管理者のみ）：

ユーザーが認証アプリへのアクセスを失い、バックアップ コードも残っていない場合、管理者は MFA をリセットして、ユーザーがゼロから再度設定できるようにすることができます。

1. 管理者アカウントで Akabot Center にログインします。

2. Administration（管理） → Users（ユーザー） に移動します。

3. ユーザー リストから、MFA のリセットが必要なアカウントを開きます。(注意: MFA がすでに有効になっているアカウントのみリセットできます。)

4. Action（アクション） ボタンをクリックします。

   

5. Reset MFA（MFA をリセット） を選択します。

   

6. アクションを確認します。ユーザーの既存の MFA 設定がクリアされ、次回必要になったときに再度 MFA を設定するよう求められます。

よくある問題とその解決方法：

• QR コードをスキャンできない — スマートフォンのカメラの視界が遮られておらず、十分な明るさがあることを確認してください。それでもスキャンできない場合は、Manual Entry（手動入力） を使用して、画面に表示されている Secret Key（シークレット キー）を入力してください。
• 認証コードを入力した際に「Invalid code（無効なコード）」エラーが出る — 認証コードは時間ベースであるため、スマートフォンの時計が同期されていないことが原因で発生することがほとんどです。デバイスの時間が自動的に同期されるように設定されているか確認してください。また、同じ認証アプリに複数のアカウントを設定している場合は、入力したコードが正しい Akabot Center アカウント用のものであるかどうかも再確認してください。
• スマートフォンまたは認証デバイスの紛失 — 以前に保存したバックアップ コードの 1 つを使用してログインし、アカウントの MFA 設定に移動して古い設定を無効にし、新しいデバイスで MFA を再設定します。バックアップ コードが保存されていない場合は、システム管理者に連絡して MFA をリセットしてもらってください。

d. その他の要件（Other Requirements）

このセクションでは、独立したいくつかのオプションのセキュリティ コントロールをグループ化しています。それぞれを個別にオンまたはオフにでき、現在の設定ではアカウント ロックアウトを除き、ほとんどがオフになっています。

d.1 Prevent keyboard sequences in passwords（パスワードにキーボード配列を使用できないようにする）

これがオンの場合、qwerty、asdf、または 123456 など、予測可能なキーボード パターンから構築されたパスワードがブロックされます。これらはキーボード上のキーの配置を見るだけで簡単に推測できるためです。現在の設定ではこのチェックボックスはオフになっているため、qwerty123! のようなパスワードは、パターンが推測しやすいものであっても、上記の長さと強度のルールを満たしていればチェックを通過します。

d.2 Require password change（パスワードの変更を必須とする）

これがオンの場合、特定のイベント、最も一般的には最初のログイン直後、または管理者によるパスワード リセットの実行直後に、ユーザーにパスワードの変更を強制します。これは、管理者が割り当てた一時的なパスワードが永続的に保持されないようにするための方法です。現在の設定ではこれはオフになっているため、管理者からパスワードを受け取ったユーザーは、変更を求められることなくそのパスワードを無期限に使用し続けることができます。

d.3 Enable sensitive word check（機密単語チェックを有効にする）

これがオンの場合、特定の制限された単語（例：会社名や、「password」「admin」などの一般的な単語）をパスワードに含めることができなくなります。有効にすると、チェックボックスの下のボックスで編集可能になる単語リストを使用します。現在の設定ではこれはオフになっているため、単語リストはアクティブではなく、Akabot@2026（会社名が含まれている）のようなパスワードも受け入れられます。

d.4 Enable password expiration（パスワードの有効期限を有効にする）

これがオンの場合、"Password expires after（パスワードの有効期間）" フィールドに入力された指定日数の経過後に、ユーザーにパスワードの変更を強制します。たとえば、90 に設定すると、90 日ごとにパスワードの変更が必要になります。現在の設定ではこれはオフになっており、フィールドには 0 日と表示されています。機能自体がオフになっているため、この数字は影響を及ぼさず、パスワードの有効期限が切れることはありません。

d.5 Prevent password reuse（パスワードの再利用を防ぐ）

これがオンの場合、"Disallow reuse of the last ___ passwords（過去 ___ 回のパスワードの再利用を許可しない）" フィールドに入力された過去のパスワードの記憶数に基づいて、ユーザーが以前のパスワードのいずれかと一致する新しいパスワードを設定するのを防ぎます。たとえば、5 に設定すると、過去 5 回のパスワードの再利用ができなくなります。現在の設定ではこれはオフになっており、フィールドには 0 と表示されているため、ユーザーはいつでも自由に古いパスワードを再利用できます。

d.6 Enable account lockout（アカウント ロックアウトを有効にする）

これは「Other requirements（その他の要件）」セクションで現在オンになっている唯一の設定であり、ログインに連続して失敗した後にアカウントを一時的にロックすることで、ブルートフォース（総当たり）ログインの試行から保護します。

ここでは 2 つのフィールドが連動して機能します。

• Lock account after ___ failed login attempts（___ 回ログインに失敗したらアカウントをロックする）、現在は 3 に設定されています。つまり、パスワードを 3 回連続で間違えて入力したユーザーは、アカウントがロックされます。
• Lockout duration ___ minutes（ロックアウト期間 ___ 分）、現在は 2 に設定されています。つまり、ユーザーが再度ログインを試みることができるようになるまで、アカウントは 2 分間ロックされたままになります。

例: ユーザーが試行 1 回目、2 回目、3 回目でパスワードを入力ミスしたとします。3 回目の失敗の後、アカウントは自動的にロックされます。ユーザーは再度ログインを試みるまでに 2 分間待つ必要があります。

ヒント: 2 分間のロックアウトはかなり短く、自動化された攻撃を完全に阻止するというよりは、主に遅らせるためのものです。より高いセキュリティが求められる環境では、期間を長くする（例：15～30 分）か、試行回数のしきい値を低くすることを検討してください。

e. 変更の保存

上記の設定のいずれかを調整した後、画面の右下隅にある Save（保存） ボタンをクリックして変更を適用します。

留意すべき 2 つの事項：

• 長さと強度のルールに対する変更は、今後のみ適用されます。新しいルールを満たさない既存のパスワードは、「Require password change（パスワードの変更を必須とする）」または「Enable password expiration（パスワードの有効期限を有効にする）」と組み合わせない限り、自動的に無効になることはありません。
• MFA の要件を「Enforce MFA for all users（すべてのユーザーに MFA を強制する）」に切り替えると、すでにログインしているユーザーに対して、次回のログイン時に MFA を設定するよう促される場合があります。

f. 実際にはどういう意味か

まとめると、現在の設定では、システムでパスワードを作成または変更する場合、少なくとも 8 文字の長さが必要であり、大文字、小文字、数字、および特殊文字を 1 つずつ含める必要があります。たとえば、Akabot@2026 は有効ですが、akabot2026 は無効になります。

MFA はアカウントに追加の保護を望む人なら誰でも利用できますが、ログインの必須条件ではありません。キーボード パターン、制限された単語、パスワードの再利用についてはまだ制限がなく、パスワードが自動的に期限切れになることはありません。バックグラウンドで積極的に機能している唯一のセーフガードはアカウント ロックアウトです。パスワードを 3 回連続で間違えると、アカウントが 2 分間ロックされます。これにより、ブルートフォースによるパスワード推測を遅らせることができます。