パスワード複雑性ポリシーは、アカウントのパスワード定義の最小要件を定義します。設定は、VMware Cloud Foundation インスタンスのアカウント タイプおよびコンポーネントによって異なります。

管理コンポーネント パスワード複雑性の設定 範囲
ESXi
  • 最小文字数
  • 小文字の最小数
  • 大文字の最小数
  • 数字の最小数
  • 特殊文字の最小数
  • 再利用前の一意のパスワードの最小数
 ローカル ユーザー
vCenter Single Sign-On
  • 最小文字数
  • 最大文字数
  • アルファベット文字の最小数
  • 小文字の最小数
  • 大文字の最小数
  • 数字の最小数
  • 特殊文字の最小数
  • 連続する同一文字の最大数
  • 再利用前の一意のパスワードの最小数
 vCenter Single Sign-On ドメイン
vCenter Server
  • 最小文字数
  • 小文字の最小数
  • 大文字の最小数
  • 数字の最小数
  • 特殊文字の最小数
  • 再利用前の一意のパスワードの最小数
 ローカル ユーザー
NSX Manager
  • 最小文字数
  • 小文字の最小数
  • 大文字の最小数
  • 数字の最小数
  • 特殊文字の最小数
  • 古いパスワードとは異なる文字の最小数
 ローカル ユーザー
NSX Edge
  • 最小文字数
  • 小文字の最小数
  • 大文字の最小数
  • 数字の最小数
  • 特殊文字の最小数
  • 古いパスワードとは異なる文字の最小数
 ローカル ユーザー
SDDC Manager
  • 最小文字数
  • 小文字の最小数
  • 大文字の最小数
  • 数字の最小数
  • 特殊文字の最小数
  • 古いパスワードとは異なる文字の最小数
  • 再利用前の一意のパスワードの最小数
 ローカル ユーザー

前提条件

パスワード ポリシー構成の前提条件を参照してください。

ESXi のローカル ユーザー パスワード複雑性ポリシーの構成

必要なパスワードの長さ、文字クラスの要件、パスフレーズの許可など、VMware Cloud Foundation の ESXi ホストのローカル ユーザー パスワードの要件を定義します。

設定

デフォルト値

Security.PasswordHistory

0

Security.PasswordQualityControl

retry=3 min=disabled,disabled,disabled,7,7

Security.PasswordQualityControl 設定の形式の詳細については、『vSphere セキュリティ』ドキュメントのESXi のパスワードとアカウントのロックアウトを参照してください。

ユーザー インターフェイスの手順

  1. ワークロード ドメインの vCenter Server インスタンス (https://<vcenter_server-fqdn>/ui) に管理者権限を持つアカウントを使用してログインします。
  2. [ホストおよびクラスタ] インベントリで、最初の vSphere クラスタに移動して展開します。

  3. 最初の ESXi ホストを選択し、[設定] タブをクリックします。

  4. [システム] セクションで、[システムの詳細設定] をクリックします。

  5. [システムの詳細設定] 画面で、[編集] をクリックします。

  6. キー フィルタ テキスト ボックスに「Security.PasswordHistory」と入力し、組織の要件に従って設定を構成します。

  7. キー フィルタ テキスト ボックスに「Security.PasswordQualityControl」と入力し、組織の要件に応じて設定の値を入力して、[OK] をクリックします。

  8. クラスタの残りのすべてのホストでこの手順を繰り返します。

  9. ワークロード ドメインのすべての残りのクラスタでこの手順を繰り返します。

  10. 他のすべてのワークロード ドメインとそのクラスタでこの手順を繰り返します。

PowerShell の手順

  1. PowerShell を起動します。

  2. サンプル コードの値を置き換え、PowerShell コンソールでコマンドを実行します。

    $sddcManagerFqdn = "sfo-vcf01.sfo.rainpole.io"
$sddcManagerUser = "[email protected]"
$sddcManagerPass = "VMw@re1!"

$sddcDomainName = "sfo-m01"
$cluster = "sfo-m01-cl01"

$policy = "retry=3 min=disabled,disabled,disabled,7,7”
$history = "3"

  3. PowerShell コンソールでコマンドを実行して、構成を実行します。

    Update-EsxiPasswordComplexity -server $sddcManagerFqdn -user $sddcManagerUser -pass $sddcManagerPass -domain $sddcDomainName -cluster $cluster -policy $policy -history $history

  4. $sddcDomainName ワークロード ドメインのすべての残りのクラスタでこの手順を繰り返します。

  5. 残りのワークロード ドメインにあるすべてのクラスタでこの手順を繰り返します。

vCenter Single Sign-On のパスワード複雑性ポリシーの構成

VMware Cloud Foundation の vCenter Single Sign-On の組み込み ID プロバイダのパスワード形式要件を定義します。

パスワード複雑性ポリシーは、vCenter Single Sign-On の組み込み ID プロバイダの vsphere.local ドメイン内のユーザー アカウントにのみ適用されます。このポリシーは、ローカル システム アカウントおよび [email protected] には適用されません。

設定

デフォルト値

再利用を制限

5

最大文字数

20

最小文字数

8

特殊文字

1

アルファベット文字

2

大文字

1

小文字

1

数字

1

隣接した同一文字

1

ユーザー インターフェイスの手順

  1. ワークロード ドメインの vCenter Server インスタンス (https://<vcenter_server-fqdn>/ui) に管理者権限を持つアカウントを使用してログインします。
  2. vSphere Client メニューから、[管理] を選択します。

  3. [シングル サインオン] セクションで、[構成] をクリックします。

  4. [構成] 画面で、[ローカル アカウント] タブをクリックします。

  5. [パスワード ポリシー] セクションで、[編集] をクリックします。

  6. 組織の要件に応じて設定を変更し、[保存] をクリックします。

PowerShell の手順

  1. PowerShell を起動します。

  2. サンプル コードの値を置き換え、PowerShell コンソールでコマンドを実行します。

    $sddcManagerFqdn = "sfo-vcf01.sfo.rainpole.io"
$sddcManagerUser = "[email protected]"
$sddcManagerPass = "VMw@re1!"

$sddcDomainName = "sfo-m01"

$minLength = "8"
$maxLength = "20"
$minAlphabetic = "2"
$minLowercase = "1"
$minUppercase = "1"
$minNumerical = "1"
$minSpecial = "1"
$maxIdenticalAdjacent = "1"
$history = "5"

  3. PowerShell コンソールでコマンドを実行して、構成を実行します。

    Update-SsoPasswordComplexity -server $sddcManagerFqdn -user $sddcManagerUser -pass $sddcManagerPass -domain $sddcDomainName -minLength $minLength -maxLength $maxLength -minAlphabetic $minAlphabetic -minLowercase $minLowercase -minUppercase $minUppercase -minNumeric $minNumerical -minSpecial $minSpecial -maxIdenticalAdjacent $maxIdenticalAdjacent -history $history

vCenter Server のローカル ユーザー パスワード複雑性ポリシーの構成

root アカウントなど、VMware Cloud Foundation の vCenter Server アプライアンスのローカル ユーザーのパスワード形式要件を定義します。

設定

デフォルト値

説明

minlen

6

パスワードの最小長

lcredit

-1

クレジットを生成する小文字の最大数

ucredit

-1

クレジットを生成する大文字の最大数

dcredit

-1

クレジットを生成する最大桁数

ocredit

-1

クレジットを生成するその他の文字の最大数

difok

4

古いパスワードと異なる必要がある最小文字数

remember

5

システムが記憶するパスワードの最大数

ユーザー インターフェイスの手順

  1. SSH を使用してワークロード ドメインの vCenter Server Appliance に root としてログインします。

  2. シェル アクセスを有効にします。

    shell
  3. 次のコマンドを使用して、アプライアンスのパスワード要件をバックアップします。
    cp -p /etc/pam.d/system-password /etc/pam.d/system-password-`date +%F_%H:%M:%S`.back

  4. vCenter Server ローカル ユーザーのパスワード要件を構成するためのすべての設定が /etc/pam.d/system-password ファイルに追加されていることを確認します。

    # Begin /etc/pam.d/system-password

# use sha512 hash for encryption, use shadow, and try to use any previously
# defined authentication token (chosen password) set by any prior module
password  requisite   pam_pwquality.so  dcredit=-1 ucredit=-1 lcredit=-1 ocredit=-1 minlen=6 difok=4 enforce_for_root
password  required    pam_pwhistory.so  remember=5 retry=3 enforce_for_root use_authtok
password  required    pam_unix.so       sha512 use_authtok shadow try_first_pass
# End /etc/pam.d/system-password

  5. /etc/pam.d/system-password ファイルに一部の設定がない場合は、手動で追加します。

  6. 必要なすべての設定を /etc/pam.d/system-password ファイルに追加したら、次のコマンドを使用して、組織の要件に応じて値を設定します。

    sed -i -E 's/minlen=[-]?[0-9]+/minlen=<your_value>/g' /etc/pam.d/system-password
sed -i -E 's/lcredit=[-]?[0-9]+/lcredit=<your_value>/g' /etc/pam.d/system-passwords
sed -i -E 's/ucredit=[-]?[0-9]+/ucredit=<your_value>/g' /etc/pam.d/system-password
sed -i -E 's/dcredit=[-]?[0-9]+/dcredit=<your_value>/g' /etc/pam.d/system-password
sed -i -E 's/ocredit=[-]?[0-9]+/ocredit=<your_value>/g' /etc/pam.d/system-password
sed -i -E 's/difok=[-]?[0-9]+/difok=<your_value>/g' /etc/pam.d/system-password
sed -i -E 's/remember=[-]?[0-9]+/remember=<your_value>/g' /etc/pam.d/system-password

  7. 残りのワークロード ドメインの vCenter Server インスタンスでこの手順を繰り返します。

PowerShell の手順

  1. Windows PowerShell を起動します。
  2. サンプル コードの値を置き換え、PowerShell コンソールでコマンドを実行します。
    $sddcManagerFqdn = "sfo-vcf01.sfo.rainpole.io"
$sddcManagerUser = "[email protected]"
$sddcManagerPass = "VMw@re1!"

$sddcDomainName = "sfo-m01"

$minLength = "6"
$minLowercase = "-1"
$minUppercase = "-1"
$minNumeric = "-1"
$minSpecial = "-1"
$minUnique = "4"
$history = "5"
  3. PowerShell コンソールでコマンドを実行して、構成を実行します。
    Update-VcenterPasswordComplexity -server $sddcManagerFqdn -user $sddcManagerUser -pass $sddcManagerPass -domain $sddcDomainName -minLength $minLength -minLowercase $minLowercase -minUppercase $minUppercase -minNumerical $minNumeric -minSpecial $minSpecial -minUnique $minUnique -history $history
  4. すべての VI ワークロード ドメインでこの手順を繰り返します。

NSX Manager のローカル ユーザー パスワード複雑性ポリシーの構成

VMware Cloud Foundation の NSX Manager アプライアンスのローカル ユーザーのパスワード形式要件を定義します。

設定

デフォルト値

 説明

minlen

12

パスワードの最小長

注：

パスワード ポリシーでパスワードの最小長を 20 より大きい値に設定する必要がある場合、SDDC Manager でパスワード ローテーションを使用することはできません。

lcredit

-1

クレジットを生成する小文字の最大数

ucredit

-1

クレジットを生成する大文字の最大数

dcredit

-1

クレジットを生成する最大桁数

ocredit

-1

クレジットを生成するその他の文字の最大数

difok

0

古いパスワードと異なる必要がある最小文字数
MAX_PASSWORD_LEN 128 パスワードの最大文字数
maxrepeat 0 許可される連続する文字の最大数
maxsequence 0 1 つの文字を繰り返す最大回数
remember 0 システムが記憶するパスワードの最大数
hash_algorithm sha512 ハッシュ アルゴリズム

ユーザー インターフェイスの手順

  1. vCenter Server (https://<vcenter_server_fqdn>/ui) に [email protected] としてログインします。
  2. 管理ドメインの NSX Manager クラスタを含む仮想マシン フォルダを展開します。
  3. NSX Manager クラスタの最初のノードを選択し、[Web コンソールの起動] をクリックします。
  4. NSX Manager ノードに admin としてログインします。
  5. set password-complexity コマンドを実行して、パスワード複雑性ポリシーの変更を開始します。
  6. プロンプトで、組織の要件に応じて、パスワードの複雑さに関する設定をインタラクティブに設定します。 
    Minimum password length (leave empty to not change): <your_value>
Maximum password length (leave empty to not change): <your_value>
Lower characters (leave empty to not change): <your_value>
Upper characters (leave empty to not change): <your_value>
Numeric characters (leave empty to not change): <your_value>
Special characters (leave empty to not change): <your_value>
Minimum unique characters (leave empty to not change): <your_value>
Allowed similar consecutives (leave empty to not change): <your_value>
Allowed monotonic sequence (leave empty to not change): <your_value>
Hash algorithm (leave empty to not change): <your_value>
Password remembrance (leave empty to not change): <your_value>
  7. 管理ドメインの残りの NSX ローカル マネージャ ノードでこの手順を繰り返します。
  8. すべての VI ワークロード ドメインの NSX ローカル マネージャ クラスタでこの手順を繰り返します。
  9. すべての NSX グローバル マネージャ ノードでこの手順を繰り返します。

PowerShell の手順

  1. PowerShell を起動します。
  2. サンプル コードの値を置き換え、PowerShell コンソールでコマンドを実行します。
    $sddcManagerFqdn = "sfo-vcf01.sfo.rainpole.io"
$sddcManagerUser = "[email protected]"
$sddcManagerPass = "VMw@re1!"

$sddcDomainName = "sfo-m01"

$minLength = "12"
$minLowercase = "-1"
$minUppercase = "-1"
$minNumerical = "-1"
$minSpecial = "-1"
$minUnique = "0"
$maxLength = "128"
$maxRepeats = "0"
$maxSequence = "0"
$history = "0"
$hashAlgorithm = "sha512"
  3. PowerShell コンソールでコマンドを実行して、構成を実行します。
    Update-NsxtManagerPasswordComplexity -server $sddcManagerFqdn -user $sddcManagerUser -pass $sddcManagerPass -domain $sddcDomainName -minLength $minLength -minLowercase $minLowercase -minUppercase $minUppercase -minNumerical $minNumerical -minSpecial $minSpecial -minUnique $minUnique -maxLength $maxLenth -maxRepeats $maxRepeats -maxSequence $maxSequence -history $history -hash_algorithm $hashAlgorithm
  4. すべての VI ワークロード ドメインの NSX ローカル マネージャ クラスタでこの手順を繰り返します。
  5. 各ノードのアプライアンス コンソールで、すべての NSX グローバル マネージャ クラスタのパスワード複雑性ポリシーを手動で構成します。

NSX Edge のローカル ユーザー パスワード複雑性ポリシーの構成

VMware Cloud Foundation の NSX Edge アプライアンスのローカル ユーザーのパスワード形式要件を定義します。

設定

デフォルト値

説明

minlen

15

パスワードの最小長

注：

パスワード ポリシーでパスワードの最小長を 20 より大きい値に設定する必要がある場合、SDDC Manager でパスワード ローテーションを使用することはできません。

lcredit

-1

クレジットを生成する小文字の最大数

ucredit

-1

クレジットを生成する大文字の最大数

dcredit

-1

クレジットを生成する最大桁数

ocredit

-1

クレジットを生成するその他の文字の最大数

difok

0

古いパスワードと異なる必要がある最小文字数

retry

3

再試行の最大回数

ユーザー インターフェイスの手順

  1. NSX Edge 仮想アプライアンスを構成する場合は、vSphere Client の Web コンソールを使用してアプライアンス コンソールを開きます。

    1. ワークロード ドメインの vCenter Server インスタンス (https://<vcenter_server-fqdn>/ui) に管理者権限を持つアカウントを使用してログインします。

    2. [仮想マシンおよびテンプレート] インベントリで、ワークロード ドメインの NSX Edge クラスタを含む仮想マシン フォルダに移動して展開します。

    3. NSX Edge クラスタの最初のノードを選択し、[Web コンソールの起動] をクリックします。

  2. ベアメタル NSX Edge アプライアンスを構成する場合は、iLO や iDRAC などのアウトオブバンド管理インターフェイスを使用してアプライアンス コンソールを開きます。

  3. NSX Edge ノードに root としてログインします。

  4. 次のコマンドを使用して、アプライアンスのパスワード要件をバックアップします。

    cp -p /etc/pam.d/common-password /etc/pam.d/common-password-`date +%F_%H:%M:%S`.back

  5. SDDC Manager ユーザーのパスワード要件を構成するためのすべての設定が /etc/pam.d/common-password ファイルに追加されていることを確認します。

    #
# /etc/pam.d/common-password - password-related modules common to all services
#

# here are the per-package modules (the "Primary" block)
password requisite pam_cracklib.so retry=3 minlen=12 difok=0 lcredit=-1 ucredit=-1 dcredit=-1 ocredit=-1 enforce_for_root
password required pam_pwhistory.so use_authtok enforce_for_root remember=0
password [success=1 default=ignore] pam_unix.so obscure use_authtok try_first_pass sha512
# here's the fallback if no module succeeds
password requisite pam_deny.so
# prime the stack with a positive return value if there isn't one already;
# this avoids us returning an error just because nothing sets a success code
# since the modules above will each just jump around
password required pam_permit.so
# and here are more per-package modules (the "Additional" block)
# end of pam-auth-update config

  6. /etc/pam.d/common-password ファイルに一部の設定がない場合は、手動で追加します。

  7. 次のコマンドを使用して、組織の要件に応じてこれらの設定を行います。

    sed -i -E 's/minlen=[-]?[0-9]+/minlen=<your_value>/g' /etc/pam.d/common-password
sed -i -E 's/lcredit=[-]?[0-9]+/lcredit=<your_value>/g' /etc/pam.d/common-password
sed -i -E 's/ucredit=[-]?[0-9]+/ucredit=<your_value>/g' /etc/pam.d/common-password
sed -i -E 's/dcredit=[-]?[0-9]+/dcredit=<your_value>/g' /etc/pam.d/common-password
sed -i -E 's/ocredit=[-]?[0-9]+/ocredit=<your_value>/g' /etc/pam.d/common-password
sed -i -E 's/difok=[-]?[0-9]+/difok=<your_value>/g' /etc/pam.d/common-password
sed -i -E 's/retry=[-]?[0-9]+/retry=<your_value>/g' /etc/pam.d/common-password

  8. ワークロード ドメイン内の残りの NSX Edge クラスタ ノードでこの手順を繰り返します。

  9. 残りのワークロード ドメインのすべての NSX Edge クラスタでこの手順を繰り返します。

PowerShell の手順

PowerShell コマンドを使用してパスワード複雑性ポリシーを構成できるのは、SDDC Manager を使用して展開された VMware Cloud Foundation の NSX Edge ノードのみです。手動で展開された NSX Edge 仮想アプライアンス、ベアメタル NSX Edge アプライアンスの場合は、NSX のドキュメントに従ってポリシーを手動で構成します。

  1. PowerShell を起動します。

  2. サンプル コードの値を置き換え、PowerShell コンソールでコマンドを実行します。

    $sddcManagerFqdn = "sfo-vcf01.sfo.rainpole.io"
$sddcManagerUser = "[email protected]"
$sddcManagerPass = "VMw@re1!"

$sddcDomainName = "sfo-m01"

$minLength = "15"
$minLowercase = "-1"
$minUppercase = "-1"
$minNumerical = "-1"
$minSpecial = "-1"
$minUnique = "0"
$maxRetry = "3"

  3. PowerShell コンソールでコマンドを実行して、構成を実行します。

    Update-NsxtEdgePasswordComplexity -server $sddcManagerFqdn -user $sddcManagerUser -pass $sddcManagerPass -domain $sddcDomainName -minLength $minLength -minLowercase $minLowercase -minUppercase $minUppercase -minNumerical $minNumerical -minSpecial $minSpecial -minUnique $minUnique -maxRetry $maxRetry

  4. 残りのワークロード ドメインのすべての NSX Edge クラスタでこの手順を繰り返します。

SDDC Manager のローカル ユーザー パスワード複雑性ポリシーの構成

SDDC Manager アプライアンスのローカル ユーザーのパスワード形式の要件を定義します。

設定

デフォルト値

 説明

minlen

15

パスワードの最小長

lcredit

-1

クレジットを生成する小文字の最大数

ucredit

-1

クレジットを生成する大文字の最大数

dcredit

-1

クレジットを生成する最大桁数

ocredit

-1

クレジットを生成するその他の文字の最大数

minclass

4

使用する必要がある文字タイプ（大文字、小文字、数字、その他）の最小数

difok

4

古いパスワードと異なる必要がある最小文字数

retry

3

再試行の最大回数

maxsequence

0

1 つの文字を繰り返す最大回数

remember

5

システムが記憶するパスワードの最大数

ユーザー インターフェイスの手順

  1. SSH を使用して SDDC Manager アプライアンスに vcf としてログインします。
  2. root ユーザーに変更します。
    su -
  3. 次のコマンドを使用して、パスワード要件をバックアップします。
    cp -p /etc/pam.d/system-password /etc/pam.d/system-password-`date +%F_%H:%M:%S`.back

  4. SDDC Manager ユーザーのパスワード要件を構成するためのすべての設定が /etc/pam.d/system-password ファイルに追加されていることを確認します。

    # Begin /etc/pam.d/system-password

password   required pam_pwhistory.so remember=5 retry=5 enforce_for_root use_authtok
password   required pam_pwquality.so dcredit=-1 ucredit=-1 lcredit=-1 ocredit=-1 minlen=7 difok=4 minclass=4 maxsequence=0 enforce_for_root
password   required pam_unix.so sha512 shadow use_authtok

# End /etc/pam.d/system-password

  5. /etc/pam.d/system-password ファイルに一部の設定がない場合は、手動で追加します。

  6. 必要なすべての設定を /etc/pam.d/system-password ファイルに追加したら、次のコマンドを使用して、組織の要件に応じて値を設定します。

    sed -i -E 's/dcredit=[-]?[0-9]+/dcredit=<your_value>/g' /etc/pam.d/system-password
sed -i -E 's/ucredit=[-]?[0-9]+/ucredit=<your_value>/g' /etc/pam.d/system-password
sed -i -E 's/lcredit=[-]?[0-9]+/lcredit=<your_value>/g' /etc/pam.d/system-password
sed -i -E 's/ocredit=[-]?[0-9]+/ocredit=<your_value>/g' /etc/pam.d/system-password
sed -i -E 's/minlen=[-]?[0-9]+/minlen=<your_value>/g' /etc/pam.d/system-password
sed -i -E 's/difok=[-]?[0-9]+/difok=<your_value>/g' /etc/pam.d/system-password
sed -i -E 's/retry=[-]?[0-9]+/retry=<your_value>/g' /etc/pam.d/system-password
sed -i -E 's/remember=[-]?[0-9]+/remember=<your_value>/g' /etc/pam.d/system-password

PowerShell の手順

  1. PowerShell を起動します。

  2. サンプル コードの値を置き換え、PowerShell コンソールでコマンドを実行します。

    $sddcManagerFqdn = "sfo-vcf01.sfo.rainpole.io"
$sddcManagerUser = "[email protected]"
$sddcManagerPass = "VMw@re1!"

# Replace with the name of your management domain
$sddcDomainName = "sfo-m01"

$rootPass = "VMw@re1!"
$minLength = "15"
$minLowercase = "-1"
$minUppercase = "-1"
$minNumerical = "-1"
$minSpecial = "-1"
$minUnique = "4"
$minClass = "4"
$maxSequence = "0"
$history = "5"
$maxRetry = "3"

  3. PowerShell コンソールでコマンドを実行して、構成を実行します。

    Update-SddcManagerPasswordComplexity -server $sddcManagerFqdn -user $sddcManagerUser -pass $sddcManagerPass -rootPass $rootPass -minLength $minLength -minLowercase $minLowercase -minUppercase $minUppercase -minNumerical $minNumerical -minSpecial $minSpecial -minUnique $minUnique -minClass $minClass -maxSequence $maxSequence -history $history -maxRetry $maxRetry