セキュリティポリシーの設定
Archived
2 タスク
5 分
シナリオ
GogoRoadでは、ログイン試行の失敗が大量に発生しています。 経営陣は、これらの試行はインターネットボットによる悪質な攻撃ではないかと疑っています。 経営陣から、新しいセキュリティ要件を実装するように依頼されました。 初回のログイン試行に失敗した後、ユーザーがさらにログインを行う場合は追加の検証を行う必要があります。 ログイン試行に失敗してから次にログインしようとするまでのユーザーの待ち時間は徐々に長くなります。 初回の試行に失敗した後は、5秒の遅れが発生します。
初回のログイン試行失敗の後、ログインページにCAPTCHAを表示して、ユーザーが人間であり自動化されたボットではないことを確認します。 ログイン試行が2回失敗した後で、以降のログイン試行を5秒ずつ遅らすために、ロックアウトペナルティを有効にします。
以下の表は、チャレンジに必要なログイン情報をまとめたものです。
| ロール | ユーザー名 | パスワード |
|---|---|---|
| アプリケーションデベロッパー | author@gogoroad | pega123! |
補足： 練習環境では、複数のチャレンジの完了をサポートする場合があります。 その結果、チャレンジのウォークスルーに表示される設定は、お客様の環境と完全に一致しない場合があります。
チャレンジ ウォークスルー
詳細なタスク
1 CAPTCHAを設定する
- Dev Studioのヘッダーで、「Configure」>「Org & Security」>「Authentication」>「Security Policies」をクリックして、「Security Policies」ランディングページを開きます。
- 「Frequently required policies」セクションで、Enable frequently required policies (except for PRAuth-based authentication services)チェックボックスを選択して、よく必要になるセキュリティポリシーを有効にします。
補足： 「Enable frequently required policies」オプションは、Pega Platformではデフォルトで有効ですが、今回のチャレンジのために無効にされています。
- 「CAPTCHA policies」セクションの「Enable CAPTCHA Reverse Turing test module」フィールドで、「Enabled 」を選択してCAPTCHA機能を有効にします。
- 「Enable presentation of CAPTCHA upon initial login」リストで、「Disabled」を選択して、最初のログイン試行失敗の後にのみCAPTCHAが表示されるようにします。
- 「Probability that CAPTCHA will be presented upon authentication failure (%)」フィールドに「100」と入力して、ログイン試行が失敗した場合は常にCAPTCHAが表示されるようにします。
2 ロックアウトペナルティを設定する
- 「Lockout policies」セクションの「Enable authentication lockout penalty」フィールドで、「Enabled 」を選択してロックアウトペナルティを有効にします。
- 「Failed login attempts before employing authentication lockout penalty」フィールドに「2」を入力して、試行が2回失敗したらロックアウトペナルティを適用するように設定します。
- 「Initial authentication lockout penalty in seconds」フィールドに「5」を入力し、最初のロックアウト時間を5秒に設定します。
補足： 以降のロックアウト時間は、5秒ずつ増加します。
- 「Submit」をクリックして、セキュリティポリシーの更新を適用します。
ヒント： Pega Platform™のインスタンスにセキュリティポリシーをインポートするときに、これらの設定をロードするデータページをクリアしなければならない場合があります。 Dev Studioで、Declare_AuthPoliciesデータページに移動し、「Load Management」>「Clear data page」をクリックしてデータページをフラッシュします。
作業の確認
- アプリケーションをログアウトします。 Pegaのログイン画面が表示されます。
- ログイン画面の「User name」フィールドに、「author@gogoroad」と入力します。
- 「Password」フィールドに、無効なパスワードを入力します。
- をクリックして、エラーメッセージと「CAPTCHA」フィールドを表示させます。
- 無効なログイン情報を使用して、2回目の試行を行います。
- CAPTCHAの値を入力して、をクリックします。
- 3回目の無効なログイン試行を行って、「Log in」ボタンが5秒間使用できなくなることを確認します。
補足： 3回目のログインを試みた後、システムがError Authentication failed メッセージを表示することがあります。 ブラウザのウィンドウを更新すると、ログインページに戻ります。
- 4回目の無効なログイン試行を行って、「Log in」ボタンが10秒間使用できなくなることを確認します。
- 正しいログイン情報を使用してアプリケーションにログインし、アプリケーションにアクセスできることを確認します。
補足： ログインに成功すると、パスワードの変更を促すメッセージが表示されます。
ヒント： アプリケーション開発時に、ユーザーのロックアウトを防ぐために、アプリケーションを本番環境に配置するまで、セキュリティポリシーを無効にすることが必要になる場合があります。 「Security Policies」ランディングページに戻って、設定を無効にします。