インターネットパスワードを保護する

インターネットパスワードのロックアウトを使用すると、管理者は、Domino Web ユーザーや Domino Web Access ユーザーがインターネットパスワードによる認証で失敗可能なしきい値を設定できます。これにより、設定された試行回数以内でログインできなかったユーザーがロックアウトされるため、ユーザーのインターネットアカウントに対する総当たり攻撃や辞書攻撃を防ぐことができます。認証の失敗とロックアウトに関する情報は、インターネットロックアウトアプリケーションで管理されます。管理者は、このアプリケーションで失敗をクリアしたり、ユーザーアカウントをロック解除できます。

この機能は、サービス不能 (DoS) 攻撃を受けやすいことに注意する必要があります。DoS 攻撃とは、悪意のあるユーザーが、正当なユーザーによるサービスの利用を故意に妨げる攻撃のことです。インターネットパスワードのロックアウトの場合、攻撃者が意図的にログインを失敗することにより、正当なインターネットユーザーが Domino サーバーにログインできなくなる可能性があります。

インターネットパスワードのロックアウトには、次のような制限事項があります。

• インターネットパスワードのロックアウトは Web アクセスでのみ使用できます。LDAP、POP、IMAP、DIIOP、HCLSametime® など、その他のインターネットプロトコルやサービスは現在サポートされていません。ただし、認証に使用するパスワードが LDAP サーバーに格納されている場合は、インターネットパスワードのロックアウトを Web 接続に使用できます。
• カスタム DSAPI フィルタを使用中の場合、インターネットのロックアウト機能を利用できないことがあります。これは、DSAPI フィルタが IBM Notes/Domino の認証をバイパスする方法であるためです。

シングルサインオンでは、インターネットパスワードのロックアウト機能が有効な Domino サーバー以外のサーバーでも、シングルサインオンのキーを発行する必要があります。別のソース (別の Domino サーバーまたは WebSphere® サーバー) からこのキーを取得する場合、インターネットパスワードのロックアウトが有効であるかどうかに関係なく、SSO トークンは Domino サーバー上で常に有効になります。

インターネットロックアウトデータベース (inetlockout.nsf) は次のような場合にテンプレート inetlockout.ntf から作成されます。

• インターネットのロックアウト機能が有効な場合の起動中。
• 初めてロックアウトデータベースを検索するか、ロックアウトデータベースに書き込む必要があるとき。再起動は必要ありませんが、機能を有効にしてからロックアウトデータベースをオープンするか、ロックアウトデータベースに書き込むまでに、10 分間は必要です。

インターネットロックアウトデータベースの ACL では、[管理者] のアクセス権を持つのはデフォルトで管理者グループのみです。[Default] と [Anonymous] はアクセスが拒否されます。ただし、データベースの ACL を変更して、ユーザーの表示やロック解除を行うアクセス権をユーザーやグループに付加することができます。

Web ユーザーとして Domino にログインするユーザーについては、ユーザー名、認証の失敗回数、ロックアウトステータスなどのロックアウトの状態に関する情報は、インターネットロックアウトデータベースで管理されます。ユーザーが既にロックアウトされているとき、またはログインに成功したときは、ロックアウトの試行はロックアウトデータベースに記録されません。ただし、インターネットロックアウトデータベースがロックアウト状態の情報を保持しているときにログイン失敗の履歴を記録する場合は、ログインの失敗とロックアウトの履歴情報を格納する場所を Domino ドメインモニター (DDM) とする必要があります。

インターネットロックアウトデータベースに保存されているユーザーのアクセス情報に対して変更が行われると、その変更はただちに反映されます。変更を有効にするために HTTP サーバーを再起動する必要はありません。

ロックアウトデータベースには、次の 2 つのビューがあります。

• [Locked Out Users] - 不正なパスワード入力のしきい値を超えたため、現在 Web ユーザーとしてサーバーにログインできないユーザーのレコードが表示されます。
• [Login Failures] - ユーザーが認証に失敗した回数が表示されます。

次のフィールドは、両方のビューに共通です。

• [Server name] - ユーザーがロックされているか、失敗した認証があるサーバー。
• [User name] - ロックアウトされているか、認証の失敗がログに記録されたユーザーの名前。
• [Locked out] - [Login Failures] ビューでは、この値は [yes] か [no] です。[Locked Out Users] ビューでは [はい] が設定されます。
• [Failed attempts] - 認証に失敗した回数がユーザーごとに表示されます。[Locked Out Users] ビューでは、しきい値の設定と同じ値になります。
• [First failure time] - 最初に認証に失敗した日付と時刻が表示されます。
• [Last failure time] - 最後に認証に失敗した日付と時刻が表示されます。ユーザーがロックアウトされた時間です。ロックアウトされたユーザーが再度ログインを試行しても、この時間は更新されません。

ユーザーのロックを解除するには、レコードを削除します。

ツールバーで [Mark for Delete/Unlock] をクリックすると、ロックを解除するレコードまたは削除するレコードを複数選択できます。[Delete Marked Items] をクリックすると、選択したレコードを削除できます。

インターネットロックアウトデータベースに記録されているのが有効なユーザーのみであることを、定期的に確認することをお勧めします。名前が変更になったユーザーの名前、または Domino サーバーのユーザーではなくなったユーザーの名前を削除します。このデータベースは自動でクリーンアップされません。無効となったユーザーのレコードが残っていても機能的に問題はありませんが、データベースにレコードが多すぎると、インターネット認証のパフォーマンスが低下する可能性があります。

インターネットロックアウトデータベースには、ロックアウトをユーザーに通知するためのカスタムログインフォームを作成できます。

管理者は、インターネットロックアウトデータベースを他のサーバーに複製することが有用かどうかを判断する必要があります。データベースを複製する主な利点として、ロックアウト情報が複数のサーバーに複製されることを挙げることができます。任意の複製を開き、複数のサーバー上のユーザーのロックアウトステータスを確認できます。インターネットパスワードのロックアウトが有効なサーバーで、インターネットロックアウトデータベースを開く必要はありません。

ただし、複製にも欠点があります。たとえば、ネットワークが攻撃されたり、サービス不能攻撃を受けると、複製が過剰に発生することがあります。また、複製の実行が遅れると、特定のサーバー上でロックアウトデータベースを確認している管理者は、複製が行われるまで、ユーザーがロックアウトされていることを確認できない場合があります (ただし、確認しているサーバーのレプリカは直接はいつでも開くことができます)。

インターネットロックアウトデータベースは、ドメイン内のインターネットパスワードのロックアウトが有効なサーバーのレプリカではすべて同一のレプリカ ID で作成されます。デフォルトでは、インターネットロックアウトデータベースは一時的に複製が無効にされています。これは、前述の複製の過剰な発生を防ぐためです。データベースを他のサーバーに複製するには、[複製の設定] ダイアログボックスの [その他] セクションで [複製を許可しない] オプションを無効にします。その後、データベースを複製するように設定します (スケジュール複製またはクラスタ複製)。

インターネットパスワードのロックアウトはサーバー設定文書で有効にします。これにより、管理者は複数のサーバーでインターネットロックアウト機能を有効にできます。

サーバー文書のオプション [強いセキュリティで少ない名前のバリエーション] を有効にすることをお勧めします。これにより、あいまいな名前による問題が最小限に抑えられます。Domino では、ディレクトリ内に同じ短縮名が複数ある場合でも、パスワードが正しければ短縮名で Web サーバーへログインできます。ユーザーがあいまいな名前を入力して誤ってログインした場合、ログインしようとしたユーザーを特定できないため、あいまい一致は失敗します。また、ロックアウトの有効期限設定による認証失敗のクリアは、ユーザー名とパスワードの一致が成功したユーザーに対してのみ行われます。