Nextcloudではログイン時のパスワードやURLリンク共有時のパスワードなど、パスワードを設定する場面があります。
Nextcloudでは、管理者がこのパスワードポリシーを設定することができます。
この記事は過去のブログ記事 【Blog】Nextcloud のパスワードポリシー設定 の最新版となります。
記事公開後に様々な設定が追加されているため、改めて記事を公開しました。
パスワードポリシー設定画面
管理者ユーザーでログイン後、「管理者設定」－「セキュリティ」－「パスワードポリシー」で設定します。
ポリシーとして設定できる項目
●最低限のパスワードの長さ
パスワードを設定する際の最小の文字数を指定します。
"10"にすると、最低10文字以上のパスワードを指定する必要があります。
"0"にすると制限を行いません。
●ユーザーのパスワード履歴
パスワード変更の際、過去に使われたパスワードを何世代にわたって再利用できなくするかを指定します。
パスワードの使いまわしを防ぐ目的で指定します。
"2"にすると、変更時から過去2回使ったパスワードを再利用できないようにします。
"0"にすると、過去のパスワードの再利用を許可します。
●ユーザーのパスワードが失効するまでの日数
パスワードを設定/変更してからパスワードの強制変更を促す日数を指定します。
"90"にすると、ユーザーがパスワードを設定/変更してから90日経過後にログインする際にパスワードの変更を促します
"0"にすると、パスワードの強制変更は行いません
●手動アクションによる処置が行われるまでユーザー アカウントが無効になるまでのログイン試行回数。(制限なしの場合は 0)
ユーザーによるログイン試行を失敗した回数がこの指定回数に達したら、このユーザーは無効化されます。
ユーザーが無効化された場合は、管理者がこのユーザーを有効化する必要があります。
"5"の場合、ユーザーが5回連続でログイン試行に失敗するとこのユーザーは無効化されます。
"0"の場合、ユーザーのログイン試行回数でのユーザー無効化は行われません。
以下の設定は「有効」「無効」のいずれかの選択となります。
でこの設定が有効となります。
●一般的なパスワードを禁止する
例えば"password"や"login"など、一般的なパスワードを設定することを禁止します。
●大文字と小文字を必ず含む
パスワードにアルファベットの大文字と小文字の両方を必ず含む必要があります。
●数字を必ず含む
パスワードに数字(0～9)を必ず含む必要があります。
●記号を必ず含む
パスワードに"#"や"$"などの記号を必ず含む必要あります。
●haveibeenpwned.comの侵害されたパスワードのリストと比較してパスワードをチェックする
haveibeenpwned.comで管理されている、過去に侵害されたことがあるパスワードリストに合致しないパスワードとする必要があります。
★LDAP/ADを連携してNextcloudユーザー情報を登録する場合は、LDAP/AD登録ユーザーのパスワードへはこのパスワードポリシーは適用されません(LDAP/AD側のパスワードポリシーにしたがいます)