Redmineのセキュリティを高める、第三者による不正アクセス対策に有効な機能

2021-11-25 12:00 • 分類: (none) • 石原佑季子

Redmineを利用するにあたり第三者による不正アクセスや情報漏洩を防ぐために有効な機能をご紹介します。セキュリティを高めるために設定を見直してみましょう。

二要素認証を有効にする

二要素認証は、ログインID・パスワードに加えて、スマートフォンなどの認証アプリに表示されるワンタイムパスワードを入力することでログインできる機能です。もしパスワードの使い回しなどでログインID・パスワードが流出しても、本人しか知り得ないワンタイムパスワードがないとログインできません。

詳しくは下記サイトをご覧ください。
二要素認証（Redmine.JP）

Redmineの情報を閲覧するのにログインが必要かどうかを設定できます。

「管理」→「設定」→「認証」タブ→「認証が必要」

選択肢	説明
はい	Redmine内の情報を閲覧するには、ログインID・パスワードの入力が必要。
いいえ(匿名ユーザーに公開プロジェクトへのアクセスを許可)	ログインID・パスワードの入力が不要。Redmine内の情報をインターネット上の誰でも閲覧できる状態。（例）Redmine公式サイトは「いいえ」に設定されているのでチケットが誰でも閲覧できる

プロジェクト内の情報を全ユーザーが閲覧できるか、メンバーのみ閲覧できるかを設定できます。基本的にはOFFで、全ユーザーに見てほしい一部のプロジェクトのみONにするのがよいでしょう。

各プロジェクトの「設定」→「プロジェクト」タブ→「公開」

選択肢	説明
ON	Redmineにログインできる全ユーザーがプロジェクト内の情報を閲覧できる。
OFF	プロジェクトのメンバーとなっているユーザーのみプロジェクト内の情報を閲覧できる。

また、新しいプロジェクト作成時に上記設定のデフォルトをON・OFFどちらにするか設定できます。間違えて公開してしまうことを防ぐために、デフォルトをOFF（非公開）にするのがおすすめです。

「管理」→「設定」→「プロジェクト」タブ→「デフォルトで新しいプロジェクトは公開にする」

選択肢	説明
ON	新しく作成されたプロジェクトは公開プロジェクトとなる。
OFF	新しく作成されたプロジェクトは非公開プロジェクトとなる。

ユーザーの登録方法を設定できます。設定によっては管理者の承認なしでユーザー登録ができるので要注意です。

「管理」→「設定」→「認証」タブ→「ユーザーによるアカウント登録」

選択肢	自分自身でユーザー登録	説明
無効	できない	システム管理者のみ「管理」→「ユーザー」画面からユーザー登録できる。
メールでアカウントを有効化	できる	「登録する」画面で必要な情報を入力後、ユーザーに対してメールが送られる。メールに記載された有効化のためのリンクをクリックすることで、自分でアカウントを有効化できる。スパムを防ぐためによく使われる方法。
手動でアカウントを有効化	できる	新規ユーザーのアカウントは作成されるが、システム管理者の承認が必要。「登録する」画面で必要な情報を入力後、システム管理者には承認待ちのアカウントがある旨のメールが届く。システム管理者は「管理」→「ユーザー」画面でユーザーのアカウントを有効化する。その後ユーザーはログインできるようになる。
自動でアカウントを有効化	できる	「登録する」画面で必要な情報を入力後、ユーザーはすぐにRedmineにログインできる。アカウントを有効にするための追加の作業は不要。