設定
始める前に
IBM Domino ディレクトリに対する [編集者] アクセス権と、次のロールのいずれかがあることを確認します。
注: [IBM Notes 共有ログイン] タブおよび IBM Notes 共有ログインを使用してパスワードプロンプトを表示させない方法の詳細については、関連トピックを参照してください。[統合ログイン] タブの詳細については、関連トピックにある、IBM Notes 統合ログイン設定をユーザーに適用する方法の詳細を参照してください。
注: IBM iNotes ユーザー用のセキュリティポリシー設定の作成と、HTTP プロキシサーブレットを使用した外部サーバーへの URL の制限の詳細については、関連情報にある IBM iNotes Administration 製品資料を参照してください。
手順
1. Domino Administrator で、[ユーザーとグループ] タブを選択し、[設定] ビューを開きます。
2. [設定の追加] をクリックしてから、[セキュリティ] を選択します。
3. [基本] タブで、以下のフィールドに入力します。
IBM Notes とインターネットパスワードを管理する
1. [パスワード管理]タブで、以下のオプションフィールドに入力します。
IWA の追加情報については、関連情報にある技術情報「Integrated Windows authentication (IWA) for Eclipse-based components within Lotus Notes」を参照してください。
注: Domino サーバーへのログインにユーザーがスマートカードを使用する場合は、パスワードの有効期限を有効にしないでください。
注: 30 未満の値を設定すると、[警告周期] フィールドの値が自動的に計算されます。このフィールドに入力した日数の 80% の数値が、警告周期として計算されます。
注: [必須変更間隔] の設定が 30 日未満に設定された場合、このフィールドの値が計算されます。このフィールドの値が計算されるように、パスワードの有効期間を有効にしなければなりません。この値が計算されると、上書きできません。
注: パスワード有効期限をどのように有効にしたかに関わらず、カスタム警告メッセージの対象は IBM Notes クライアントのみです。インターネットユーザーには、警告メッセージが表示されません。
このタスクについて
組織でのセッション認証に SAML を使用している場合は、インターネットパスワードのロックアウト設定は無視されます。
1. [パスワード管理]タブで、以下のロックアウト設定を入力します。
注: これらのポリシーを有効にするには、サーバーはインターネットパスワードのロックアウトを実施する必要があります。
カスタムパスワードポリシーを設定する
カスタムパスワードポリシーを実装するよう選択した場合にのみ、次のフィールドに必要な情報を入力する必要があります。
1. [パスワード管理] タブの [パスワード管理オプション] にある [Notes クライアントにカスタムパスワードポリシーを使用] フィールドで、[はい] を選択します。
注: これは、ユーザー登録中にポリシーが適用された場合にのみ機能します。
数値の入力後に、この要件に指定できる文字タイプがリストされたチェックリストが表示されます。次のいずれかの組み合わせも可能です。
[実行制御リスト] タブのフィールドに必要な情報を入力し、組織で使用される管理 ECL を設定します。
表 7. [実行制御リスト] タブのフィールド
管理者 ECL が管理者クライアント ECL にない署名を一覧表示した場合、その署名および設定はクライアント ECL に追加されます。
クライアント ECL と管理者 ECL が同じ署名を一覧表示した場合は、クライアント ECL の署名の設定が削除され、管理者 ECL の署名の設定で置き換えられます。
管理実行制御リスト (ECL) を管理する
ドメイン内で最初のサーバーを設定するときに IBM Domino が作成するデフォルトのシステム管理 ECL は、後で組織に合わせてカスタマイズできます。複数のタイプの管理者 ECL を持つ必要がある場合があります。たとえば 1 つは請負業者用の管理者 ECL であり、1 つは常勤社員用の管理者 ECL です。[ワークステーションセキュリティ: Admin 実行制御リスト] ダイアログボックスを使用すると、作成した管理者 ECL を管理できます。また、このダイアログボックスを使用して、新規の管理者 ECL を作成したり、不要になった管理者 ECL を削除したりすることもできます。
注: [編集] ボタンと [管理] ボタンは、セキュリティ設定文書が編集モードのときにのみ、表示されます。
1. セキュリティ設定文書のツールバーで、[設定の編集] をクリックします。
2. [管理] をクリックします。[ワークステーションセキュリティ: Admin 実行制御リスト] ダイアログボックスが表示されます。次のオプションから選択します。
管理者 ECL は、セキュリティ設定文書とは別に保存されます。管理 ECL を編集すると、その特定の名前の付いた管理者 ECL を参照しているすべてのセキュリティ設定文書で、その変更が使用されます。管理者 ECL を削除すると、その特定の管理者 ECL を参照しているすべてのセキュリティ設定文書で、デフォルトの管理者 ECL が使用されます。管理者 ECL を削除すると、[キャンセル] をクリックしてもその削除を元に戻すことはできません。
[キャンセル] をクリックしても、管理者 ECL の名前は変更されずに設定文書に表示されます。
キーロールオーバーを有効にする
[キーと認証] タブのフィールドに必要な情報を入力し、ユーザーグループのキーロールオーバーを設定します。ユーザーのグループのキーロールオーバーを起動するトリガを指定します。このポリシーが適用されるユーザーグループのロールオーバープロセスを実行する場合、指定期間より間隔をあけることができるオプションがあります。
メールと文書の暗号化で AES を設定する方法の詳細については、関連トピックを参照してください。
1. [パブリックキー要求のデフォルト] フィールドで、親ポリシーと子ポリシーの設定を指定します。次のいずれかを選択します。
4. [認証期限の設定] の [警告周期] フィールドで、ユーザーが期限切れの警告メッセージを受け取る、認証の有効期限切れ前の日数を指定します。デフォルトは 0 です。
5. [認証期限の設定] の [カスタム警告メッセージ] フィールドにおいて、証明書の有効期限が [警告周期] フィールドで指定した期限のしきい値を超えたユーザーに対して送信されるカスタム警告メッセージを入力します。
On-line Certificate Status Protocol (OCSP) チェックを有効にする
Online Certificate Status Protocol (OCSP) を使用すると、識別された証明書の取り消し状態をアプリケーションで判別することができます。OCSP チェックは、S/MIME 署名検査中とメールの暗号化中に IBM Notes クライアントによって行われます。OCSP は、ポリシーで、セキュリティ設定文書の [キーと認証] タブの [OCSP のチェックを有効にする] 設定を使用することによって有効化されます。
信頼された相互認証をクライアントに適用する
ユーザープロンプトを表示させずに、相互認証を作成することができます。[キーと認証] タブの [管理者の信頼のデフォルト] セクションを使用して、信頼されたインターネット証明書、インターネット相互認証、IBM Notes 相互認証を IBM Notes クライアントに適用します。クライアントに対して信頼された証明書を適用する (プッシュするという場合もあります) 方法の詳細については、関連トピックを参照してください。
署名付きプラグインのインストールを設定する
プラグインは IBM Notes ユーザーに提供可能で、通常は証明書で署名されています。この証明書は、IBM Notes クライアントによって信頼されており、そのプラグインに含まれているデータが破損していないことを証明します。こうすることで、ユーザーは署名付きプラグインのインストールや更新を行うことができます。
プラグインに問題があることが判明することもあります。このようなプラグインは、署名されていないか、信頼できる証明書で署名されていないか、証明書の有効期限が切れているか、まだ有効になっていないかのいずれかです。このような場合、ポリシーを設定して、これらのプラグインをインストールしないようにするか、常にインストールするか、コンピュータにプラグインをインストールするときにユーザーに決定させることができます。
Java SDK によって提供される jar signer ツールを使用して、プラグイン jar 署名にタイムスタンプを付けることにより、プラグイン署名の有効性を長期間にわたって確保することができます。Notes クライアントは、プラグインの JAR 署名に付いているタイムスタンプを使用して、プラグインによって署名された証明書が署名された時点で有効であったかどうかを判定します。プラグインによって署名された証明書が期限切れであっても署名の時点で有効であれば、IBM Notes は証明書を受け入れるため、プラグインのインストール中またはプロビジョニング中に、セキュリティプロンプトがユーザーに表示されることはありません。期限切れのタイムスタンプが付いた証明書で署名されたプラグインのインストールを許可するかどうかを制御するには、[署名付きプラグイン] タブにある [タイムスタンプ認証の期限を無視] 設定を使用します。デフォルトでは、インストールは許可されます。
表 10. [タイムスタンプ認証の期限を無視] の設定
ポータルサーバー設定を定義する
表 11. ポータルサーバー設定
注: [ID ボールト] タブおよび [プロキシ] タブについては、関連トピックを参照してください。
関連概念 IBM Notes 共有ログインを利用して、パスワードを求めるプロンプトが出ないようにする インターネットパスワードを管理する 統合ウィンドウ認証 (IWA) を Eclipse ベースクライアントで有効にする IBM Notes クライアントの S/MIME を設定する インターネット/イントラネットクライアントの名前とパスワードによる認証 plugin_customization.ini を使用して IBM Notes をカスタマイズする Domino のポリシーを使用してクライアントプラグインの信頼を設定または検証する Notes ID ボールト
関連タスク パスワードの照合を設定する セキュリティ設定ポリシーを使用して Notes 統合ログイン設定をクライアントユーザーに適用する インターネットパスワードを保護する ID ファイルの暗号化を設定する 操作制御リスト AES によるメールと文書の暗号化を設定する Notes クライアントとインターネットクライアントで SSL クライアント認証を設定する ユーザーとサーバーキーのロールオーバー セキュリティポリシー設定を使用して証明書をクライアントにプッシュする ID ボールトポリシー設定文書を手作業で作成、編集する インストールと更新用にカスタムまたはサードパーティのフィーチャーとプラグインに署名する
関連資料 カスタムパスワードポリシー デフォルトの ECL 設定 パスワードクオリティスケール
関連情報 IBM iNotes 製品資料 HTTP プロキシサーブレットを使用して外部サーバーへの URL を制限する 技術情報 21459717: Integrated Windows authentication (IWA) for Eclipse-based components within Lotus Notes