第8章 IdM でシステムアカウントを設定して、リセットを必要とせずにユーザーパスワードを変更する

外部の認証情報管理システムが、初回ログイン時にパスワードのリセットを強制することなくユーザーパスワードを設定できるように、Identity Management (IdM) システムアカウントを使用します。外部サービスとの統合を行いながら、IdM のパスワードポリシーの適用を維持できます。

デフォルトでは、IdM 管理者が IdM ユーザーのパスワードをリセットすると、最初のログインが成功した後にパスワードは期限切れになります。ただし、パスワードの保存を外部の認証情報管理システムに委ねる形で IdM デプロイメントを統合する場合、その外部システムで設定されたパスワードが初回ログイン時に期限切れにならないよう設定することを推奨します。初回ログイン時の強制変更は、エンドユーザーの利便性を損なう可能性があるためです。同時に、IdM のパスワードポリシーを回避するとセキュリティーリスクが生じるため、IdM 側でパスワードの強度と履歴のチェックの機能を有効に維持しておくことが重要です。

このシナリオに対応するため、RHEL 10.2 以降の IdM では システムアカウント 機能が利用可能です。システムアカウントを使用することで、たとえば、高度な権限を持つ IdM アカウント (つまり、管理特権を持つアカウント) の管理セキュリティーをこの専用の外部サービスに委譲することができ、それによってコンプライアンス要件を満たすことができます。