ログイン設定をゆるくしたり厳しくしたりしてみた

kintoneの自動ログイン機能をユーザーによって使い分けてみる

2017年11月02日 11時00分更新

文● 柳谷智宣

サイボウズ社が提供しているウェブサービス「kintone」は、一言で言うなら「簡単に自社の業務に適したシステムを作成できるクラウドサービス」だ。業務アプリを直感的に作成できるほか、社内SNSとしての機能も備えスピーディーに情報共有ができるなど魅力が盛り沢山だ。
本連載では、そんなkintoneの導入から基本機能の紹介、そしてアプリの活用法など、ビジネスの現場で役立つ情報を取り上げていく。第27回では、Kintoneの自動ログイン機能をユーザーによって使い分けてみる。

　kintoneを使うためにログインする際のログイン名とパスワードはしっかり管理したい。そこで、今回はユーザーのログイン設定を一番ゆるくすると何が起きる可能性があるのか、設定を厳しくするとどんなことができるのかをまとめてご紹介したい。kintoneのセキュリティーをマスターするために、剛柔両方を身に着けておきたいところだ。

アカウント管理を一番ゆるくしてみる（非推奨）

　筆者はkintoneをブラウザーに常時表示しているのだが、翌日に見るとログアウトしており、パスワードを入力してログインしている。そこまで手間ではないのだが、ずっとログインしておきたいというニーズがあるかもしれない。そんなずぼらな人のために、セキュリティーを一番スカスカにしてみよう。もちろん、守りはその分薄くなるので非推奨だが、どれか1つくらいであれば使い勝手を考えてゆるくすることができるかもしれない。

　まずは、管理者アカウントでログインし、「cybozu.com共通管理」を開く。「システム管理」→「セキュリティ」→「ログイン」をクリックすると、ログインのセキュリティー設定がずらっと表示される。

　「ログイン名の入力」→「自動補完を有効にする」にチェックすると、ログイン画面でユーザー名一覧からの絞り込みができる。同じ端末を複数ユーザーで使っている場合は、簡単に切り替えられるので便利だ。しかし、もし第三者がPCに触れられる場合、労せずしてユーザー名の一覧をゲットできてしまう。

　次の「ログイン名とパスワードの保存」→「ログイン名とパスワードのWebブラウザーへの保存を許可する」をオンにすると、アカウント名やパスワードをブラウザーが記憶し、次回表示時に自動入力してくれるのだ。とても手間が省ける機能だが、その分リスクが増えているのは明白だろう。ちなみに、この機能はオフにしても、利用しているブラウザーや拡張機能によって、記録されていることがある。

　「自動ログイン」→「自動ログインをユーザーに許可する」にチェックすると、ブラウザーを閉じてもkintoneへのログイン状態が継続される。もう一度アクセスすれば、即表示できるので手間が省ける。しかし、画面を閉じて終了させたつもりになって席を離れ、その間にブラウザーの履歴からkintoneを表示できてしまうので、注意が必要だ。

「cybozu.com共通管理」→「システム管理」→「セキュリティ」→「ログイン」を開く

「自動補完を有効にする」にチェックするとユーザー名一覧が表示される

「ログイン名とパスワードのWebブラウザーへの保存を許可する」をオンにすると、入力の手間が省ける

　パスワードの設定では、複雑さに制限をかけず、文字数も3桁にすれば、「123」といった文字列も使えるようになる。本来、一定期間でパスワードは変更すべきで、有効期間を設けることで強制的に変更してもらうこともできる。しかし、これも面倒なら「無期限」にすることも可能。また、「アカウントロックアウト」を「ロックアウトしない」にしておけば、何度ログイン操作を失敗しても再チャレンジできるようになる。また、「ログイン名と同じパスワードの使用をユーザーに許可する」にチェックしておけば、ログイン名と同じ文字列をパスワードとして使えるようになる。絶対に忘れないだろうが、不正アクセスしようとしている輩も最初に試す文字列なので注意が必要だ。

パスワードの長さや複雑さを設定する

パスワードの有効期限を設定する

ログインを間違えたときにロックアウトするまでの試行回数を設定する

　「管理者が設定した仮パスワードの変更をユーザーに要求する」のチェックを外すと、管理者が付けたパスワードをそのまま利用することが可能で、最初の手間がかからなくなる。

「管理者が設定した仮パスワードの変更をユーザーに要求する」の設定もできる

　これを全部適用すると、とてつもなくログインの手間が減ることがわかるだろう。しかし、当然ながら、不正アクセスしようとしている人も同じように簡単にログインできるということでもある。第三者が触れる可能性があるPCなら、セキュリティーはできるだけ固めておこう。

運用ポリシーを厳しくしてセキュリティーを固める

　ユーザーがパスワードを忘れた場合、ログイン画面の「ログインでお困りですか？」というリンクをクリックすると、リセットすることができる。万一、メールアカウントが漏洩すれば、kintoneのアカウント情報も一緒に引き出される可能性はある。そこで、セキュリティ設定で、「パスワードのリセットをユーザーに許可する」のチェックを外すと、リセットできなくなるのだ。この場合は、システム管理者に再発行依頼の連絡しなければならなくなる。

　同様に「パスワードの変更をユーザーに許可する」のチェックを外すと、ユーザーがパスワードを変更できなくなる。変な文字列を付けられなくはなるが、定期的な変更もできないので、セキュリティーが強くなっているかどうかは微妙。とはいえ、機能が用意されているのはいいことだ。

「パスワードのリセットをユーザーに許可する」をオフにすれば、ユーザーがパスワードを再設定できないようになる

「パスワードの変更をユーザーに許可する」をオフにすれば、ユーザーがパスワードを変更できなくなる

　ユーザーにパスワードを設定させる際、不正アクセスされにくい文字列を付けさせるように「パスワードポリシー」を設定することもできる。パスワードの最低文字数や複雑さ、再利用可能な文字列などを指定できるのだ。たとえば、文字数を10文字くらいにしてアルファベットと数字と記号を必ず含めるようにして、以前の文字列は使いまわせないようにするなら、相当強力なパスワードとなる。