Redmineのセキュリティを高める、第三者による不正アクセス対策に有効な機能
•
分類: (none)
•
Redmineを利用するにあたり第三者による不正アクセスや情報漏洩を防ぐために有効な機能をご紹介します。セキュリティを高めるために設定を見直してみましょう。
目次
- 二要素認証を有効にする
- 登録されたユーザーのみ閲覧できるように設定する
- プロジェクトのメンバーのみ閲覧できるようにする
- 自分自身でユーザー登録できないようにする
- 長いパスワードを設定する
- 複雑なパスワードを設定する
- 【プラグイン】許可したIPアドレス以外からはアクセスできないようにする
二要素認証を有効にする
二要素認証は、ログインID・パスワードに加えて、スマートフォンなどの認証アプリに表示されるワンタイムパスワードを入力することでログインできる機能です。もしパスワードの使い回しなどでログインID・パスワードが流出しても、本人しか知り得ないワンタイムパスワードがないとログインできません。
利用方法
詳しくは下記サイトをご覧ください。
二要素認証（Redmine.JP）
登録されたユーザーのみ閲覧できるように設定する
Redmineの情報を閲覧するのにログインが必要かどうかを設定できます。
設定方法
「管理」→「設定」→「認証」タブ→「認証が必要」
| 選択肢 | 説明 |
|---|---|
| はい | Redmine内の情報を閲覧するには、ログインID・パスワードの入力が必要。 |
| いいえ(匿名ユーザーに公開プロジェクトへのアクセスを許可) | ログインID・パスワードの入力が不要。Redmine内の情報をインターネット上の誰でも閲覧できる状態。 （例）Redmine公式サイトは「いいえ」に設定されているのでチケットが誰でも閲覧できる |
関連情報
プロジェクトのメンバーのみ閲覧できるようにする
プロジェクト内の情報を全ユーザーが閲覧できるか、メンバーのみ閲覧できるかを設定できます。基本的にはOFFで、全ユーザーに見てほしい一部のプロジェクトのみONにするのがよいでしょう。
設定方法
各プロジェクトの「設定」→「プロジェクト」タブ→「公開」
| 選択肢 | 説明 |
|---|---|
| ON | Redmineにログインできる全ユーザーがプロジェクト内の情報を閲覧できる。 |
| OFF | プロジェクトのメンバーとなっているユーザーのみプロジェクト内の情報を閲覧できる。 |
また、新しいプロジェクト作成時に上記設定のデフォルトをON・OFFどちらにするか設定できます。間違えて公開してしまうことを防ぐために、デフォルトをOFF（非公開）にするのがおすすめです。
「管理」→「設定」→「プロジェクト」タブ→「デフォルトで新しいプロジェクトは公開にする」
| 選択肢 | 説明 |
|---|---|
| ON | 新しく作成されたプロジェクトは公開プロジェクトとなる。 |
| OFF | 新しく作成されたプロジェクトは非公開プロジェクトとなる。 |
自分自身でユーザー登録できないようにする
ユーザーの登録方法を設定できます。設定によっては管理者の承認なしでユーザー登録ができるので要注意です。
設定方法
「管理」→「設定」→「認証」タブ→「ユーザーによるアカウント登録」
| 選択肢 | 自分自身でユーザー登録 | 説明 |
|---|---|---|
| 無効 | できない | システム管理者のみ「管理」→「ユーザー」画面からユーザー登録できる。 |
| メールでアカウントを有効化 | できる | 「登録する」画面で必要な情報を入力後、ユーザーに対してメールが送られる。メールに記載された有効化のためのリンクをクリックすることで、自分でアカウントを有効化できる。スパムを防ぐためによく使われる方法。 |
| 手動でアカウントを有効化 | できる | 新規ユーザーのアカウントは作成されるが、システム管理者の承認が必要。「登録する」画面で必要な情報を入力後、システム管理者には承認待ちのアカウントがある旨のメールが届く。システム管理者は「管理」→「ユーザー」画面でユーザーのアカウントを有効化する。その後ユーザーはログインできるようになる。 |
| 自動でアカウントを有効化 | できる | 「登録する」画面で必要な情報を入力後、ユーザーはすぐにRedmineにログインできる。アカウントを有効にするための追加の作業は不要。 |
「登録する」画面
長いパスワードを設定する
パスワードの最低必要文字数を設定できます。デフォルトは8文字に設定されています。8文字に設定した場合、7文字以下のパスワードは設定できません。
設定方法
「管理」→「設定」→「認証」タブ→「パスワードの最低必要文字数」
複雑なパスワードを設定する
複数の文字種別を必須にすることで複雑なパスワードを設定してもらうよう強制できます。
設定方法
「管理」→「設定」→「認証」タブ→「パスワードの必須文字種別」
| 選択肢 | 説明 |
|---|---|
| 大文字 | A-Z |
| 小文字 | a-z |
| 数字 | 0-9 |
| 記号 | #!?@%$など |
【プラグイン】許可したIPアドレス以外からはアクセスできないようにする
Redmineのプラグイン「IPアドレスフィルター」を利用すると、特定のIPアドレスからのみRedmineにアクセスできるように制限できます。オープンソースのプラグインなので自由にインストールできます。
利用方法
IPアドレスフィルタープラグイン 公式ページをご覧ください。
