オンプレミス管理コンソールでユーザーを作成および管理する (レガシ)

[アーティクル]
12/18/2023

重要

現在、Defender for IoT では、中央監視とセンサー管理に Microsoft クラウドサービスまたは既存の IT インフラストラクチャを使用することを推奨しており、2025 年 1 月 1 日にオンプレミス管理コンソールを廃止する予定です。

詳細については、「ハイブリッドまたはエアギャップ OT センサーの管理をデプロイする」を参照してください。

Microsoft Defender for IoT には、OT ネットワークセンサーでオンプレミスユーザーアクセスを管理するためのツールと、オンプレミス管理コンソールが用意されています。 Azure ユーザーは、Azure RBAC を使用して Azure サブスクリプションレベルで管理されます。

この記事では、オンプレミス管理コンソールでオンプレミスユーザーを直接管理する方法について説明します。

既定の特権ユーザー

既定では、各オンプレミス管理コンソールと一緒に特権のある support ユーザーと cyberx がインストールされます。これらのユーザーは、トラブルシューティングとセットアップのための高度なツールにアクセスできます。

オンプレミス管理コンソールを初めて設定する場合は、これらの特権ユーザーのいずれかでサインインし、管理者ロールを持つ初期ユーザーを作成してから、セキュリティアナリストと読み取り専用ユーザー用の追加ユーザーを作成します。

詳しくは、オンプレミス管理コンソールへの OT 監視ソフトウェアのインストールに関する記事と「既定の特権オンプレミスユーザー」をご覧ください。

新しいオンプレミス管理コンソールユーザーを追加する

この手順では、オンプレミス管理コンソールの新しいユーザーを作成する方法について説明します。

前提条件: この手順は、support ユーザーと cyberx ユーザーのほか、管理者ロールを持つすべてのユーザーが利用できます。

メンバーの追加方法:

オンプレミス管理コンソールにサインインし、[ユーザー]>[+ ユーザーの追加] を選択します。

[ユーザーの作成] を選択し、次の値を定義します。

名前	説明
ユーザー名	ユーザー名を入力します。
Email	ユーザーの電子メールアドレスを入力します。
[First Name]	ユーザーの名前 (名) を入力します。
[Last Name]	ユーザーの名前 (姓) を入力します。
ロール	ユーザーロールを選択します。詳細については、「オンプレミスユーザーロール」を参照してください。
リモートサイトアクセスグループ	オンプレミス管理コンソールのみで使用できます。すべてのグローバルアクセスグループにユーザーを割り当てるには [すべて] を選択します。特定のグループにのみ割り当てるには [特定] を選択し、ドロップダウンリストからグループを選択します。詳細については、オンプレミスユーザーのグローバルアクセス許可の定義に関するページを参照してください。
パスワード	ユーザーの種類として、[ローカル] または [Active Directory ユーザー] のいずれかを選択します。ローカルユーザーの場合は、ユーザーのパスワードを入力します。パスワード要件は次のとおりです。 - 8 文字以上 - 小文字と大文字の両方の英字 - 少なくとも 1 つの数字 - 少なくとも 1 つの記号

ヒント

Active Directory と統合すると、ユーザーのグループを特定のアクセス許可レベルに関連付けることができます。 Active Directory を使用してユーザーを作成する場合は、まずオンプレミス管理コンソールで Active Directory を構成してから、この手順に戻ります。

完了したら、 [保存] を選択します。

新しいユーザーが追加され、センサーの [ユーザー] ページにリストされます。

ユーザーを編集するには、編集するユーザーの [編集] ボタンを選び、必要に応じて値を変更します。

ユーザーを削除するには、削除するユーザーの [削除] ボタンを選びます。

ユーザーのパスワードを変更します

この手順では、管理者ユーザーがローカルユーザーパスワードを変更する方法について説明します。 管理者ユーザーは、自分または他のセキュリティアナリストまたは読み取り専用ユーザーのパスワードを変更できます。特権ユーザーは、自分のパスワードと管理者ユーザーのパスワードを変更できます。

ヒント

特権ユーザーアカウントへのアクセスを回復する必要がある場合は、「オンプレミス管理コンソールへの特権アクセスを回復する」を参照してください。

前提条件: この手順は、support ユーザーと cyberx ユーザーのほか、管理者ロールを持つユーザーのみが利用できます。

オンプレミス管理コンソールでユーザーのパスワードをリセットするには:

オンプレミス管理コンソールにサインインし、[ユーザー] を選択します。
[ユーザー] ページで、パスワードを変更する必要があるユーザーを見つけます。
そのユーザー行の右側にある [編集] ボタンを選びます。
表示される [ユーザーの編集] ウィンドウで、[パスワードの変更] セクションまで下にスクロールします。新しいパスワードを入力して確認します。

パスワードは 16 文字以上で、小文字と大文字の英字、数字、および次のいずれかの記号が含まれている必要があります: #%*+,-./:=?@[]^_{}~
完了したら [更新] を選択します。

オンプレミス管理コンソールへの特権アクセスを回復する

この手順では、オンプレミス管理コンソールで support ユーザーと cyberx ユーザーのパスワードを回復する方法について説明します。詳細については、「既定の特権オンプレミスユーザー」を参照してください。

前提条件: この手順は、support ユーザーと cyberx ユーザーのみが利用できます。

オンプレミス管理コンソールへの特権アクセスを回復する方法:

オンプレミス管理コンソールへのサインインを開始します。サインイン画面の "ユーザー名" および "パスワード" フィールドで、[パスワードの復元] を選択します。
[パスワードの復元] ダイアログで、ドロップダウンメニューから [CyberX] または [サポート] を選択し、表示されるパスワードの復元コードをクリップボードにコピーします。
Azure portal の Defender for IoT の [サイトとセンサー] ページに移動します。オンプレミス管理コンソールを開いたまま、新しいブラウザータブまたはウィンドウで Azure portal を開くことをお勧めします。

Azure portal 設定 >[ディレクトリとサブスクリプション] で、センサーが Defender for IoT にオンボードされたサブスクリプションを選択していることを確認します。
[サイトとセンサー]ページで、[その他の操作] ドロップダウンメニュー >[オンプレミス管理コンソールのパスワードを復元] を選択します。
開いた [復元] ダイアログで、オンプレミス管理コンソールからクリップボードにコピーした一意識別子を入力し、[復元] を選択します。 password_recovery.zip ファイルが自動的にダウンロードされます。

Azure portal からダウンロードされたすべてのファイルは信頼のルートによって署名されているため、マシンは署名された資産のみを使用します。
[オンプレミス管理コンソール] タブに戻り、[パスワードの復元] ダイアログで [アップロード] を選択します。 Azure portal からダウンロードしたpassword_recovery.zip ファイルをアップロードします。

注意

ファイルが無効であることを示すエラーメッセージが表示された場合は、Azure portal 設定で正しくないサブスクリプションを選択した可能性があります。

Azure に戻り、上部のツールバーにある設定アイコンを選択します。 [ディレクトリとサブスクリプション] ページで、センサーが Defender for IoT にオンボードされたサブスクリプションを選択していることを確認します。次に、Azure での手順を繰り返して password_recovery.zip ファイルをダウンロードし、オンプレミス管理コンソールに再度アップロードします。
[次へ] を選択します。オンプレミス管理コンソール用にシステムによって生成されたパスワードが表示され、選択されたユーザーに使用できます。パスワードは二度と表示されないため、必ず書き留めておいてください。
もう一度 [次へ] を選択して、オンプレミス管理コンソールにサインインします。

ユーザーを Active Directory と統合する

オンプレミス管理コンソールと Active Directory の統合を構成して、以下を行います。

Active Directory ユーザーがオンプレミス管理コンソールにサインインできるようにする
グループ内のすべてのユーザーに集合的アクセス許可が割り当てられた Active Directory グループを使用する

たとえば、読み取り専用アクセスを割り当てるユーザーが多数あり、それらのアクセス許可をグループレベルで管理する場合は、Active Directory を使用します。

詳細については、「センサーとオンプレミス管理コンソールでの Microsoft Entra ID のサポート」を参照してください。

前提条件: この手順は、support ユーザーと cyberx ユーザーのみが利用できます。または、管理者ロールを持つユーザーが利用できます。

Active Directory と統合する方法:

オンプレミス管理コンソールにサインインし、[システム設定] を選択します。
右側の [Management console integrations] (管理コンソール統合) 領域まで下にスクロールし、[Active Directory] を選択します。

[Active Directory 統合が有効] オプションを選択し、Active Directory サーバーに関する以下の値を入力します。

フィールド	説明
ドメインコントローラー FQDN	LDAP サーバーに表示されている、正確な完全修飾ドメイン名 (FQDN)。たとえば、「`host1.subdomain.contoso.com`」と入力します。 FQDN を使用した統合で問題が発生した場合は、DNS 構成を確認してください。統合を設定するときに、FQDN ではなく LDAP サーバーの明示的な IP を入力することもできます。
ドメインコントローラーポート	LDAP が構成されているポート。
プライマリドメイン	ドメイン名 (`subdomain.contoso.com` など)。次に、LDAP 構成の接続の種類を選択します。サポートされている接続の種類は、LDAPS/NTLMv3 (推奨)、LDAP/NTLMv3、または LDAP/SASL-MD5 です。
Active Directory グループ	[+ 追加] を選択して、必要に応じて、リストされている各アクセス許可レベルに Active Directory グループを追加します。グループ名を入力するときは、LDAP サーバー上の Active Directory 構成で定義されているグループ名を入力する必要があります。その後、Active Directory から新しいセンサーユーザーを作成するときに、これらのグループを使用してください。サポートされているアクセス許可レベルには、読み取り専用、セキュリティアナリスト、管理者、信頼されたドメインがあります。グループを信頼されたエンドポイントとして他の Active Directory グループとは別の行に追加します。信頼されたドメインを追加するには、信頼されたドメインのドメイン名と接続の種類を追加します。信頼されたエンドポイントは、[ユーザー] の下で定義されたユーザーに対してのみ構成できます。

[+ サーバーの追加] を選択して別のサーバーを追加し、必要に応じてその値を入力し、完了したら [保存] を選択します。

重要

LDAP パラメーターを入力する場合:

Active Directory に表示されるとおりに値を正確に定義します (大文字と小文字の区別を除く)。
Active Directory の構成で大文字が使用されている場合でも、ユーザーは小文字のみです。
LDAP と LDAPS を同じドメインに対して構成することはできません。ただし、それぞれを異なるドメインで構成し、それらを同時に使用することはできます。

次に例を示します。

オンプレミス管理コンソールでの Active Directory 統合構成のスクリーンショット。

オンプレミス管理コンソールユーザーのアクセスグループルールを作成します。

オンプレミス管理コンソールユーザーの Active Directory グループを構成する場合は、各 Active Directory グループのアクセスグループルールも作成する必要があります。 Active Directory 資格情報は、対応するアクセスグループ　ルールがないオンプレミス管理コンソールユーザーには機能しません。

詳細については、オンプレミスユーザーのグローバルアクセス許可の定義に関するページを参照してください。

オンプレミスユーザーのグローバルアクセス許可を定義する

大規模な組織には、多くの場合、グローバルな組織構造に基づく複雑なユーザーアクセス許可モデルがあります。オンプレミスの Defender for IoT ユーザーを管理するには、事業単位、リージョン、サイトに基づくグローバルビジネストポロジを使用し、それらのエンティティに関するユーザーアクセス許可を定義することをお勧めします。

"ユーザーアクセスグループ" を作成して、Defender for IoT オンプレミスリソース全体でグローバルアクセス制御を確立します。各アクセスグループには、事業単位、リージョン、サイトなど、ビジネストポロジ内の特定のエンティティにアクセスできるユーザーに関するルールが含まれています。

詳細については、「オンプレミスのグローバルアクセスグループ」を参照してください。

前提条件:

この手順は、support ユーザーと cyberx ユーザーのほか、管理者ロールを持つすべてのユーザーが利用できます。

アクセスグループを作成する前に、次のこともお勧めします。

作成するアクセスグループにどのユーザーを関連付けるかを計画します。ユーザーをアクセスグループに割り当てるために次の 2 つのオプションがあります。
- Active Directory グループのグループの割り当て: オンプレミス管理コンソールと統合する Active Directory インスタンスを設定していることを確認します。
- ローカルユーザーの割り当て: ローカルユーザーを作成済みであることを確認します。
  
  管理者ロールを持つユーザーは、既定ですべてのビジネストポロジエンティティにアクセスできますが、アクセスグループに割り当てることはできません。
ビジネストポロジを慎重に設定します。ルールを適切に適用するには、 [サイトの管理] ウィンドウでセンサーをゾーンに割り当てる必要があります。詳細については、「オンプレミス管理コンソールで OT サイトとゾーンを作成する」を参照してください。

アクセスグループの作成方法:

管理者ロールを持つユーザーとして、オンプレミス管理コンソールにサインインします。
左側のナビゲーションメニューから [アクセスグループ] を選んでから、[追加] を選びます。
[Add Access Group] (アクセスグループの追加) ダイアログボックスで、アクセスグループのわかりやすい名前を最大 64 文字で入力します。
[ルールの追加] を選択し、アクセスグループに含めるビジネストポロジオプションを選択します。 [ルールの追加] ダイアログに表示されるオプションは、[Enterprise View] (エンタープライズビュー) ページと [サイトの管理] ページで作成したエンティティです。次に例を示します。

まだ存在しない場合は、作成する最初のグループに対して既定のグローバル事業単位およびリージョンが作成されます。事業単位またはリージョンを選択しない場合、アクセスグループ内のユーザーは、すべてのビジネストポロジエンティティにアクセスできます。

各ルールには、種類ごとに 1 つの要素のみを含めることができます。たとえば、各ルールには、1 つの事業単位、1 つのリージョン、および 1 つのサイトを割り当てることができます。同じユーザーが複数の事業単位にアクセスできるようにする場合は、異なるリージョンで、グループに対して追加のルールを作成します。アクセスグループに複数のルールが含まれている場合、ルールロジックで AND ロジックを使用してすべてのルールが集約されます。

作成したルールは、[Add Access Group] (アクセスグループの追加) ダイアログボックスにリストされ、必要に応じてさらに編集したり削除したりできます。次に例を示します。
次の方法のいずれかまたは両方を使用してユーザーを追加します。
- [Assign an Active Directory Group] (Active Directory グループを割り当てる) オプションが表示されたら、必要に応じて、このアクセスグループに Active Directory グループのユーザーを割り当てます。次に例を示します。
  
  オプションが表示されないが、Active Directory グループをアクセスグループに含めたい場合は、Active Directory 統合に Active Directory グループが含まれていることを確認してください。詳細については、オンプレミスユーザーと Active Directory の統合に関する記事を参照してください。
- [ユーザー] ページから既存のユーザーを編集して、ローカルユーザーをグループに追加します。 [ユーザー] ページで、グループに割り当てるユーザーの [編集] ボタンを選択し、選択したユーザーの [Remote Sites Access Group] (リモートサイトアクセスグループ) の値を更新します。詳細については、「新しいオンプレミス管理コンソールユーザーを追加する」を参照してください。

トポロジエンティティの変更

後でトポロジエンティティを変更し、その変更がルールロジックに影響する場合、ルールは自動的に削除されます。

トポロジエンティティに対する変更がルールロジックに影響を及ぼしたためにすべてのルールが削除された場合、アクセスグループは残りますが、ユーザーはオンプレミス管理コンソールにサインインできなくなります。代わりに、ユーザーは、オンプレミス管理コンソールの管理者に問い合わせてサインインの支援を受けるように通知されます。これらのユーザーの設定を更新して、レガシアクセスグループに含まれないようにします。

ユーザーセッションのタイムアウトを制御する

既定では、オンプレミスのユーザーは、非アクティブ状態で 30 分経過すると、セッションからサインアウトされます。管理者ユーザーは、ローカル CLI を使用して、この機能をオンまたはオフにしたり、非アクティブしきい値を調整したりできます。詳しくは、「Defender for IoT の CLI コマンドを操作する」を参照してください。

注意

OT 監視ソフトウェアを更新すると、ユーザーセッションのタイムアウトに対して行った変更はすべて既定値にリセットされます。

前提条件: この手順は、support ユーザーと cyberx ユーザーのみが利用できます。

センサーユーザーセッションのタイムアウトを制御する方法:

ターミナルを使用してセンサーにサインインし、以下を実行します。

sudo nano /var/cyberx/properties/authentication.properties

次のような出力が表示されます。

infinity_session_expiration = true
session_expiration_default_seconds = 0
# half an hour in seconds
session_expiration_admin_seconds = 1800
session_expiration_security_analyst_seconds = 1800
session_expiration_read_only_users_seconds = 1800
certificate_validation = true
CRL_timeout_seconds = 3
CRL_retries = 1

次のいずれかの操作を行います。
- ユーザーセッションのタイムアウトを完全にオフにするには、infinity_session_expiration = true を infinity_session_expiration = false に変更します。もう一度オンに戻すには、変更を元に戻します。
- 非アクティブタイムアウト期間を調整するには、次のいずれかの値を必要な時間 (秒単位) に調整します。
  - session_expiration_default_seconds (すべてのユーザー)
  - session_expiration_admin_seconds ("管理者" ユーザーのみ)
  - session_expiration_security_analyst_seconds ("セキュリティアナリスト" ユーザーのみ)
  - session_expiration_read_only_users_seconds ("読み取り専用" ユーザーのみ)

次のステップ

詳細については、次を参照してください。

次の方法で共有

オンプレミス管理コンソールでユーザーを作成および管理する (レガシ)

既定の特権ユーザー