関連トピック

# Firebox のユーザーおよびロールを管理する

Firebox でロールベースの管理を使用することで、組織内の複数の個人間で Firebox の構成やモニタリングの責任を共有することができます。これにより、監査レポートを実行して、デバイス構成ファイルに変更を加えた管理者と、変更内容を監視することができます。

各 Firebox には、追加された個々のユーザー アカウントに割り当てることができる デバイス管理者、デバイス モニタ、および ゲスト管理者 のロールがあります。

デバイス管理者

デバイス管理者ロールに割り当てられたユーザー アカウントは、読み取り書き込み権限を持つユーザーとしてデバイスに接続し、デバイス構成ファイルに変更を加えたり、デバイスをモニタすることができます。

デバイス モニタ

デバイス モニタ ロールに割り当てられたユーザー アカウントは、読み取り専用権限を持つユーザーとしてデバイスに接続し、デバイスをモニタすることができます。

ゲスト管理者

ゲスト管理者ロールに割り当てられたユーザー アカウントにできることは、デバイスに接続し、そのデバイス上で有効に設定されたホットスポットへの接続に関連して、ゲスト ユーザー アカウントのリストを管理することだけです。

デバイス管理者、デバイス モニタ、またはゲスト管理者権限を持つ複数のユーザーが、同時に同じ Firebox に接続することができます。デバイス管理者の認証資格を使用して Firebox に接続した場合、Firebox デバイス構成ファイルの構成設定を変更する前にファイルをロック解除する必要があります。構成ファイルをロック解除して変更を加える方法の詳細については、次を参照してください：構成ファイルをロックおよびロック解除する

Firebox で使用可能な事前定義ロールの詳細については、次を参照してください：事前定義ロールについて。

ゲスト管理者ユーザー アカウントを管理する方法の詳細については、次を参照してください：任意ホットスポット設定を構成する。

各 Firebox にある以下の既定の組み込みユーザー アカウントは、削除できません。

既定のユーザー アカウント | 説明 | 既定のパスフレーズ
--- | --- | ---
admin | 読み取りと書き込み権限を持つ、既定のデバイス管理者ユーザー アカウント。 | readwrite
ステータス | 読み取りのみの権限を持つ、既定のデバイス モニタのユーザー アカウント。 | readonly
wg-support | お使いのデバイスに WatchGuard サポートがアクセスするためのユーザー アカウント 既定では無効になっています。 | なし

Firebox に新しいデバイス管理ユーザーを追加すると、そのユーザーのアカウント情報は、デバイス構成ファイルとは別のファイルに格納されます。これは、以前のバージョンの構成ファイルを Firebox に復元する必要が生じても、追加したユーザー アカウントがその影響を受けないことを意味します。ただし、Firebox の出荷時の既定設定を復元した場合は、追加したデバイス管理ユーザー アカウントはすべて削除され、既定のユーザー アカウントのみが使用可能になり、既定のパスフレーズが復元されます。

Firebox 上のデバイス管理ユーザー アカウントに、以下の認証サーバーを使用することができます：

- Firebox-DB
- Active Directory
- LDAP
- RADIUS

外部のサードパーティ認証サーバー (Firebox-DB 以外) の場合は、ユーザー アカウントを Firebox に追加する前に必ず認証サーバーに追加してください。Firebox でユーザー アカウントに指定するユーザー アカウント認証情報は、大文字と小文字が区別され、サードパーティ認証サーバーで指定した認証情報と同じでなければなりません。

## 新規のデバイス ユーザー アカウントの追加

デバイス管理者 または デバイス モニタ ロールのユーザー アカウントを追加できます。外部のサードパーティ認証サーバー (Firebox-DB 以外) からユーザー アカウントを追加するには、Firebox でその認証サーバーの設定をあらかじめ構成しておく必要があります。また、認証サーバーにユーザー アカウントがすでに存在することを確認する必要があります。Firebox-DB 認証サーバーを使用するユーザー アカウントのパスフレーズのみ指定する必要があります。外部認証サーバー (Active Directory サーバーなど) からユーザー アカウントを追加すると、ユーザーが Firebox にログインする際に、認証サーバーの設定でそのユーザー アカウントに指定されているパスワードが使用されます。

新しいデバイス ユーザーアカウントを追加するには、Fireware Web UI から以下の手順を実行します：

1. システム > ユーザーおよびロール の順に選択します。
   ユーザーおよびロール ページが表示されます。

1. 追加 をクリックします。
   ユーザーの追加 ダイアログ ボックスが表示されます。

1. ユーザー名 テキスト ボックスに、ユーザー アカウントの名前を入力します。
2. 認証サーバー ドロップダウン リストから、このユーザー アカウントの認証サーバーを選択します。
3. ロール ドロップダウン リストから、このユーザー アカウントのロールを選択します。
4. (Firebox-DB のみ) パスフレーズ と パスフレーズの確認 テキスト ボックスで、このユーザー アカウントのパスフレーズを入力します。
5. OK をクリックします。
   ユーザーおよびロール リストにユーザー アカウントが表示されます。
6. 保存 をクリックします。

新しいデバイス ユーザーアカウントを追加するには、Policy Manager から以下の手順を実行します：

1. ファイル > ユーザーおよびロールの管理 の順に選択します。
   ログイン ダイアログ ボックスが表示されます。

1. 管理者ユーザー名 と 管理者パスフレーズ テキストボックスに、デバイス管理者権限を持つユーザー アカウントの認証情報を入力します。
2. 認証サーバー ドロップダウン リストから、指定したユーザー アカウントが所属する認証サーバーを選択します。
3. OK をクリックします。
   ユーザーおよびロールの管理 ダイアログ ボックスが表示されます。

1. 追加 をクリックします。
   ユーザーの追加 ダイアログ ボックスが表示されます。

1. ユーザー名 テキスト ボックスに、ユーザー アカウントの名前を入力します。
2. 認証サーバー ドロップダウン リストから、このユーザー アカウントの認証サーバーを選択します。
3. ロール ドロップダウン リストから、このユーザー アカウントのロールを選択します。
4. (Firebox-DB のみ) パスフレーズ と パスフレーズの確認 テキスト ボックスで、このユーザー アカウントのパスフレーズを入力します。
5. OK をクリックします。
   ユーザーおよびロールの管理 リストにユーザー アカウントが表示されます。

新しいデバイス ユーザーアカウントを追加するには、Firebox System Manager から以下の手順を実行します：

1. ツール > ユーザーおよびロールの管理 の順に選択します。
   ユーザーおよびロールの管理 のログインダイアログ ボックスが表示されます。

1. ユーザー名 と パスフレーズ テキスト ボックスに、デバイス管理者権限を持つユーザーアカウントの認証情報を入力します。
2. 認証サーバー ドロップダウン リストから、指定したユーザー アカウントが所属する認証サーバーを選択します。
3. Active Directory server を選択した場合、ドメイン テキストボックスに Active Directory server のドメイン名を入力してください。
4. OK をクリックします。
   ユーザーおよびロールの管理 ダイアログ ボックスが表示されます。

1. 追加 をクリックします。
   ユーザーの追加 ダイアログ ボックスが表示されます。

1. ユーザー名 テキスト ボックスに、ユーザー アカウントの名前を入力します。
2. 認証サーバー ドロップダウン リストから、このユーザー アカウントの認証サーバーを選択します。
3. ロール ドロップダウン リストから、このユーザー アカウントのロールを選択します。
4. (Firebox-DB のみ) パスフレーズ と パスフレーズの確認 テキスト ボックスで、このユーザー アカウントのパスフレーズを入力します。
5. OK をクリックします。
   ユーザーおよびロールの管理 リストにユーザー アカウントが表示されます。

## デバイス ユーザーアカウントを編集してロールまたはパスフレーズを変更します

Firebox で作成したユーザー アカウントを編集する場合、ユーザー名または認証サーバー設定を変更できません。変更できるその他の設定は、ユーザーアカウントで指定した認証サーバーによって異なります。外部のサードパーティ認証サーバーのユーザーアカウントの場合、ユーザーアカウントおよびパスフレーズに割り当てられたロールを変更できます。Firebox-DB 認証サーバーで定義したユーザーの場合、パスフレーズのみ変更できます。

ユーザー アカウントに指定されているユーザー名または認証サーバーを変更するには、そのユーザーを ユーザーおよびロールの管理 リストから削除して、適切な設定を使用してユーザー アカウントを再度追加する必要があります。

埋め込みの admin および status ユーザー アカウントでは、パスフレーズのみ変更できます。wg-support ユーザー アカウントでは、ロールとパスフレーズを変更できます。

ユーザー アカウントのロールまたはパスフレーズを変更するには、Fireware Web UI から以下の手順を実行します：

1. ユーザーおよびロール リストから、ユーザー アカウントを選択します。
2. 編集 をクリックします。
   ユーザーの編集 ダイアログ ボックスが表示されます。
3. 別のロールを選択するか、新しいパスフレーズを指定します。
4. OK をクリックします。
5. 保存 をクリックします。

ユーザー アカウントのロールまたはパスフレーズを変更するには、Policy Manager または Firebox System Manager から以下の手順を実行します：

1. ユーザーおよびロールの管理 リストから、ユーザー アカウントを選択します。
2. 編集 をクリックします。
   ユーザーの編集 ダイアログ ボックスが表示されます。
3. 別のロールを選択するか、新しいパスフレーズを指定します。
4. OK をクリックします。

## デバイスユーザーアカウントの削除

Firebox 上で作成したユーザー アカウントのみ削除できます。既定の埋め込みユーザー アカウント (admin、status、および wg-support) は削除できません。

ユーザー アカウントを削除するには、Fireware Web UI から以下の手順を実行します：

1. ユーザーおよびロール リストから、ユーザー アカウントを選択します。
2. 削除 をクリックします。
   確認メッセージが表示されます。
3. はい をクリックします。
   ユーザーおよびロール リストからユーザーが削除されます。
4. 保存 をクリックします。

ユーザー アカウントを削除するには、Policy Manager または Firebox System Manager から以下の手順を実行します：

1. ユーザーおよびロールの管理 リストから、ユーザー アカウントを選択します。
2. 削除 をクリックします。
   確認メッセージが表示されます。
3. はい をクリックします。
   ユーザーおよびロールの管理 リストからユーザーが削除されます。

## アカウントのロックアウト設定を構成する

総当たり攻撃によりユーザー アカウントのパスワードが推測されるのを防ぐために、アカウント ロックアウトを有効化することができます。アカウント ロックアウトが有効化されていると、連続してログイン試行失敗が指定回数に達すると Firebox で一時的にユーザー アカウントがロックされ、一時的なアカウント ロックアウトが指定回数に達するとユーザー アカウントが永続的にロックされます。ユーザー アカウントが永続的にロックされた場合は、デバイス管理者の認証 を持つユーザーのみがそのロックを解除することができます。

既定の admin ユーザー アカウントは、一時的にはロックできますが、永続的にロックすることはできません。

デバイス管理ユーザー アカウントのアカウント ロックアウト設定を構成するには、Fireware Web UI で以下の手順を実行します。

1. システム > ユーザーおよびロール の順に選択します。
   ユーザーおよびロールのページが表示されます。
2. アカウント ロックアウト タブを選択します。
3. アカウントのロックアウトを有効化する チェックボックスを選択します。

1. ログイン試行の失敗 テキスト ボックスに、試行失敗の指定回数を入力します。この指定回数だけ連続してログイン試行失敗が発生すると、一時的にユーザー アカウントがロックされます。
2. ユーザーがロックアウトされる期間 テキスト ボックスに、アカウントが一時的にロックされた状態に維持される時間を分単位で入力します。
3. 一時的なロックアウト テキスト ボックスに、一時的なアカウントロックアウトの指定回数を入力します。この指定回数だけ一時的なアカウントロックアウトが発生すると、ユーザー アカウントが永続的にロックされます。ヒント！既定の "admin" ユーザー アカウントを永続的にロックすることはできません。
4. 保存 をクリックします。

デバイス管理ユーザー アカウントのアカウント ロックアウト設定を構成するには、Policy Manager で以下の手順を実行します。

1. 設定 > 認証 > 認証設定 の順に選択します。
2. 管理セッション セクションで、アカウント ロックアウト をクリックします。
   アカウント ロックアウトのダイアログ ボックスが表示されます。

1. アカウントのロックアウトを有効化する チェックボックスを選択します。
2. ログイン試行の失敗 テキスト ボックスに、試行失敗の指定回数を入力します。この指定回数だけ連続してログイン試行失敗が発生すると、一時的にユーザー アカウントがロックされます。
3. ユーザーがロックアウトされる期間 テキスト ボックスに、アカウントが一時的にロックされた状態に維持される時間を分単位で入力します。
4. 一時的なロックアウト テキスト ボックスに、一時的なアカウントロックアウトの指定回数を入力します。この指定回数だけ一時的なアカウントロックアウトが発生すると、ユーザー アカウントが永続的にロックされます。ヒント！既定の "admin" ユーザー アカウントを永続的にロックすることはできません。
5. OK をクリックします。

## ロックされたデバイス管理ユーザー アカウントを解除する

デバイス管理ユーザー アカウントでアカウントのロックアウトが有効化されている場合、指定数の失敗ログイン試行回数を超えるとデバイス管理ユーザー アカウントが一時的または永続的にロックされることがあります。デバイス管理者認証を持つユーザーがロックを解除できます。

ロックされたデバイス管理ユーザー アカウントを解除するには、Fireware Web UI から以下の手順を実行します：

1. システム > ユーザーおよびロール の順に選択します。
   ユーザーおよびロールタブが選択された状態で、ユーザーおよびロールページが表示されます。ロックアウト ステータス列に、アカウントがロックされているかが表示されます。
2. ロックされているアカウントを選択します。
3. ロック解除 をクリックします。
   確認メッセージが表示されます。
4. はい をクリックします。

ロックされたユーザーアカウントをロック解除するには、Policy Manager から以下の手順を実行します：

1. ユーザーおよびロール ページから、ロックされたアカウントを選択します。
   ユーザーおよびロールタブのロックアウト ステータス 列には、アカウントがロックされているかどうかを示します。
2. ロック解除 をクリックします。
   確認メッセージが表示されます。
3. はい をクリックします。

また、Firebox System Manager の 認証リスト タブからもユーザーアカウントのロック解除ができます。詳細については、次を参照してください：認証されたユーザー(認証リスト)。

## 構成ファイルをロックおよびロック解除する

（Fireware Web UI のみ）

複数のデバイス管理者が同時に Fireware Web UI から Firebox に接続できるようにする場合は、デバイス管理者ユーザーは Firebox デバイスの構成ファイルの構成設定に変更を加える前に、構成ファイルをロック解除する必要があります。構成ファイルに変更を加えるためにデバイス管理者が構成ファイルをロック解除した場合、そのデバイス管理者が同じ構成ファイルを再度ロックするか、またはログアウトするまで、デバイス管理者権限を持つその他のユーザーに対してその構成ファイルはロック状態になります。

複数のデバイス管理者が Firebox に同時にログインできるようにする方法については、Firebox のグローバル設定を定義する を参照してください。

構成ファイルをロック解除するには、Fireware Web UI で以下の手順を実行します。

ページ上部で、 をクリックします。

構成ファイルをロックするには、Fireware Web UI で以下の手順を実行します。

ページ上部で、 をクリックします。

## デバイス管理ユーザーのアクティビティを監査する

どのデバイス管理ユーザーが Firebox に変更を行ったかを調べるには、監査証跡 レポートを確認します。このレポートには、監査対象の Firebox 構成の変更に関する詳細リストが含まれます。

レポートで監査証跡の詳細を確認する前に、監査証跡ログ メッセージが WSM Log Server または Dimension のインスタンスに送信されるように Firebox を構成する必要があります。Firebox の ログ記録設定で、この Firebox の構成が変更された場合にログ メッセージを送信する チェックボックスをオンにします。

Firebox が監査証跡ログ メッセージを生成するように Policy Manager から構成する方法の詳細については、次を参照してください：Firebox がログ メッセージを送信する場所を定義する（WSM）。

Firebox が監査証跡ログ メッセージを生成するように Fireware Web UI から構成する方法の詳細については、次を参照してください：ログ設定およびパフォーマンス統計を構成する。

Report Manager で監査証跡レポートを生成する方法の詳細については、次を参照してください：レポートを Report Manager で表示する。

Dimension で監査証跡レポートを表示する方法の詳細については、次を参照してください：レポートを表示する。

#### 関連情報

ロールに基づいた管理について

事前定義ロールについて

Firebox のグローバル設定を定義する

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索