[ユーザ（Users）] タブはデフォルトで表示されます。

ユーザ名は、次のように Linux に対して有効である必要があります。

• 英数字、ハイフン（-）、およびアンダースコア（_）が使用可で、最大 32 文字

• すべて小文字

• 最初の文字にハイフン（-）は使用不可、すべて数字は不可、ピリオド（.）、アットマーク（@）、またはスラッシュ（/）は使用不可

この値は、このユーザに設定したパスワード オプションに準拠している必要があります。

各ユーザが、ログイン試行の失敗後に、アカウントがロックされるまでに試行できるログインの最大回数を示す整数を、スペースなしで入力します。デフォルト設定は 5 回です。ログイン失敗回数を無制限にするには、0 を使用します。管理者アカウントは、ログイン失敗回数が最大数に達してもロックアウトされません（ただし、セキュリティ認定コンプライアンスを有効にした場合は除きます）。

ユーザのパスワードの必須最小長（文字数）を示す整数を、スペースなしで入力します。デフォルト設定は 8 です。値 0 は、最小長が必須ではないことを示します。

ユーザのパスワードの有効期限までの日数を入力します。デフォルト設定は 0 で、パスワードは期限切れにならないことを示します。デフォルトから変更すると、[ユーザ（Users）] リストの [パスワードのライフタイム（Password Lifetime）] 列に、各ユーザのパスワードの残っている日数が表示されます。

パスワードが実際に期限切れになる何日前に、ユーザがパスワードを変更する必要があるという警告が表示されるかを入力します。デフォルト設定は 0 日間です。

• [ログイン時にパスワードのリセットを強制（Force Password Reset on Login）]：次回のログイン時にユーザにパスワード変更を強制します。

• [パスワードの強度のチェック（Check Password Strength）]：強力なパスワードを必須にします。強力なパスワードは 8 文字以上の英数字からなり、大文字と小文字を使用し、1 つ以上の数字と 1 つ以上の特殊文字を使用する必要があります。辞書に記載されている単語や、同じ文字を連続して繰り返し使用することはできません。

• [ブラウザセッションタイムアウトの適用除外（Exempt from Browser Session Timeout）]：非アクティブ状態が原因で、ユーザのログイン セッションが終了しないようにします。Administrator ロールが割り当てられているユーザを除外することはできません。

外部ユーザについては、グループまたはリストのメンバーシップによってユーザ ロールが割り当てられている場合、最小限のアクセス権限を削除することはできません。ただし、追加の権限を割り当てることはできます。ユーザ ロールがデバイスで設定したデフォルトのユーザ ロールの場合は、ユーザ アカウントのロールを制限なしに変更できます。ユーザ ロールを変更すると、[ユーザ（Users）] タブの [認証方式（Authentication Method）] 列に、[外部-ローカル変更（External - Locally Modified）] のステータスが表示されます。

表示されるオプションは、デバイスが単一ドメイン展開かマルチドメイン展開（Firepower Management Center のみ）かによって異なります。

• 単一ドメイン：ユーザを割り当てるユーザ ロールをオンにします。

• マルチドメイン（Firepower Management Center のみ）：マルチドメイン展開では、管理者アクセス権限があるドメインでユーザ アカウントを作成できます。ユーザは各ドメインで異なる権限を持つことができます。先祖ドメインと子孫ドメインの両方でユーザ ロールを割り当てることができます。たとえば、あるユーザにグローバル ドメインでは読み取り専用権限を割り当て、子孫ドメインでは管理者権限を割り当てることができます。次の手順を参照してください。

  1. [ドメインの追加（Add Domain）] をクリックします。

  2. [ドメイン（Domain）] ドロップダウン リストからドメインを選択します。

  3. ユーザを割り当てるユーザ ロールをオンにします。

  4. [保存（save）] をクリックします。

admin ユーザ アカウントには必要な権限がありますが、設定権限を持つ任意のアカウントで作業できます。SSH セッションまたはコンソール ポートを使用できます。

特定の FTD モデルの場合、コンソール ポートで FXOS CLI に入ります。connect ftd を使用して FTD の CLI にアクセスします。

configure user add username {basic | config}

• username ：ユーザ名を設定します。ユーザ名は、次のように Linux に対して有効である必要があります。

  • 英数字、ハイフン（-）、およびアンダースコア（_）が使用可で、最大 32 文字

  • すべて小文字

  • 最初の文字にハイフン（-）は使用不可、すべて数字は不可、ピリオド（.）、アットマーク（@）、またはスラッシュ（/）は使用不可

• basic ：ユーザに基本的なアクセス権を付与します。このロールはユーザに設定コマンドの入力を許可しません。

• config ：ユーザに設定アクセス権を付与します。このロールはユーザにすべてのコマンドへの完全な管理者権限を与えます。

アカウントのデフォルト動作を変更するには、次のコマンドを使用できます。

• configure user aging username max_days warn_days

  ユーザ パスワードの有効期限を設定します。パスワードの最大有効日数と、有効期限が近づいたことをユーザに通知する警告を期限切れとなる何日前に発行するかを指定します。どちらの値も 1 ~ 9999 ですが、警告までの日数は最大日数以内にする必要があります。アカウントを作成した場合、パスワードの有効期限はありません。

• configure user forcereset username

  次回ログイン時にユーザにパスワードを強制的に変更するよう要求します。

• configure user maxfailedlogins username number

  アカウントがロックされる前の連続したログイン失敗の最大回数を 1 ~ 9999 までで設定します。configure user unlock コマンドを使用してアカウントのロックを解除します。新しいアカウントのデフォルトは、5 回連続でのログインの失敗です。

• configure user minpasswdlen username number

  パスワードの最小長を 1 ~ 127 までで設定します。

• configure user strengthcheck username { enable | disable}

  パスワードの変更時にユーザに対してパスワード要件を満たすように要求する、パスワードの強度確認を有効または無効にします。ユーザパスワードの有効期限が切れた場合、または configure user forcereset コマンドを使用した場合は、ユーザが次にログインしたときにこの要件が自動的に有効になります。

ユーザをアカウントからロックアウトしたり、アカウントを削除するか、またはその他の問題を修正したりしなければならない可能性があります。システムのユーザ アカウントを管理するには、次のコマンドを使用します。

• configure user access username { basic | config}

  ユーザ アカウントの権限を変更します。

• configure user delete username

  指定したアカウントを削除します。

• configure user disable username

  指定したアカウントを削除せずに無効にします。ユーザは、アカウントを有効にするまでログインできません。

• configure user enable username

  指定したアカウントを有効にします。

• configure user password username

  指定したユーザのパスワードを変更します。ユーザは通常、configure password コマンドを使用して自分のパスワードを変更する必要があります。

• configure user unlock username

  ログイン試行の最大連続失敗回数の超過が原因でロックされたユーザ アカウントをロック解除します。

CAC 認証および認可を完全に設定するには、LDAP を使用した共通アクセス カード認証の設定の手順にも従う必要があります。このオブジェクトは、CLI ユーザには使用できません。

証明書を使用し、TLS または SSL 経由で接続する場合は、証明書のホスト名が、このフィールドに入力するホスト名と一致している必要がりあります。また、暗号化接続では IPv6 アドレスはサポートされていません。

• [UIアクセス属性（UI Access Attribute）] を入力するか、[属性の取得（Fetch Attrs）] をクリックして利用可能な属性のリストを取得します。たとえば Microsoft Active Directory Server では、Active Directory Server ユーザ オブジェクトに uid 属性がないため、[UI アクセス属性（UI Access Attribute）] を使用してユーザを取得することがあります。代わりに [UI アクセス属性（UI Access Attribute）] フィールドに userPrincipalName と入力して、userPrincipalName 属性を検索できます。

  CAC 認証では、このフィールドは必須です。

• ユーザ識別タイプ以外のシェル アクセス属性を使用する場合は、[シェルアクセス属性（Shell Access Attribute）] を設定します。たとえば、Microsoft Active Directory Server で、sAMAccountName シェル アクセス属性を使用して CLI/シェル アクセス ユーザを取得するには、sAMAccountName と入力します。

グループ制御アクセス ロールを使用してユーザの権限を事前に設定していない場合、ユーザには、外部認証ポリシーでデフォルトで付与される権限だけが与えられています。

ユーザ ロールを変更する場合は、変更した外部認証オブジェクトを保存/展開し、[ユーザ（Users）] 画面からユーザを削除する必要があります。次回のログイン時に、ユーザが自動的に再度追加されます。

CLI/シェル アクセスの LDAP 認証を防止するには、このフィールドを空白にします。CLI/シェル ユーザを指定するには、次のいずれかの方法を選択します。

• 認証設定の設定時に指定したものと同じフィルタを使用するには、[基本フィルタと同じ（Same as Base Filter）] を選択します。

• 属性値に基づいて管理ユーザ項目を取得するには、属性名、比較演算子、およびフィルタとして使用する属性値を、カッコで囲んで入力します。たとえば、すべてのネットワーク管理者の manager 属性に属性値 shell が設定されている場合は、基本フィルタ (manager=shell) を設定できます。

ユーザ名は、次のように Linux に対して有効である必要があります。

• 英数字、ハイフン（-）、およびアンダースコア（_）が使用可で、最大 32 文字

• すべて小文字

• 最初の文字にハイフン（-）は使用不可、すべて数字は不可、ピリオド（.）、アットマーク（@）、またはスラッシュ（/）は使用不可

テスト出力には、有効なユーザ名と無効なユーザ名が示されます。有効なユーザ名は一意のユーザ名であり、アンダースコア（_）、ピリオド（.）、ハイフン（-）、英数字を使用できます。UI のページ サイズ制限のため、ユーザ数が 1000 を超えているサーバへの接続をテストする場合、返されるユーザの数は 1000 であることに注意してください。テストが失敗した場合は、LDAP 認証接続のトラブルシューティングを参照してください。

Microsoft Active Directory Server に接続して uid の代わりに UI アクセス属性を指定する場合は、ユーザ名としてこの属性の値を使用します。ユーザの完全修飾識別名も指定できます。

• Firepower Management Center：Firepower Management Center でのユーザの外部認証の有効化

• FTD：SSH の外部認証の設定

• 7000 および 8000 シリーズ：7000/8000 シリーズ デバイスの外部認証について

ユーザ ロールを変更する場合は、変更した外部認証オブジェクトを保存/展開し、[ユーザ（Users）] 画面からユーザを削除する必要があります。次回のログイン時に、ユーザが自動的に再度追加されます。

RADIUS サーバが、/etc/radiusclient/ 内の dictionary ファイルに含まれていない属性の値を返し、これらの属性を使用してユーザにユーザ ロールを設定する予定の場合は、これらの属性を定義する必要があります。RADIUS サーバでユーザ プロファイルを調べると、ユーザについて返される属性を見つけることができます。

RADIUS 認証オブジェクトの作成時に、そのオブジェクトの新しいディクショナリ ファイルがデバイスの /var/sf/userauth ディレクトリに作成されます。追加したすべてのカスタム属性は、ディクショナリ ファイルに追加されます。

これらのユーザ名が RADIUS サーバのユーザ名と一致していることを確認します。名前は、次のように Linux に対して有効である必要があります。

• 英数字、ハイフン（-）、およびアンダースコア（_）が使用可で、最大 32 文字

• すべて小文字

• 最初の文字にハイフン（-）は使用不可、すべて数字は不可、ピリオド（.）、アットマーク（@）、またはスラッシュ（/）は使用不可

FTD では、この方法を必要に応じて使用して CLI ユーザを定義するか、または各ユーザに対して Service-Type 属性を設定することで RADIUS サーバの CLI ユーザを定義できます。Service-Type 属性の詳細については、SSH の外部認証の設定を参照してください。FTD で [シェルアクセスフィルタ（Shell Access Filter）] メソッドを使用すると、FTD およびその他のプラットフォーム タイプで同一の外部認証オブジェクトを使用できます。RADIUS 定義ユーザを使用する場合は、[シェル アクセス フィルタ（Shell Access Filter）] を空のままにする必要があります。

FTD に対して Service-Type 属性メソッドを使用しているときに 、FTD、7000 または 8000 シリーズ、 および FMC に同じ RADIUS サーバを使用するには、同じ RADIUS サーバを識別する外部認証オブジェクトを 2 つ作成します。一方のオブジェクトには事前に定義した [シェルアクセスフィルタ（Shell Access Filter）] ユーザを含め（FMC と 7000 または 8000 シリーズ で使用）、もう一方のオブジェクトの [シェルアクセスフィルタ（Shell Access Filter）] は空のままにします（FTD で使用）。

このフィールドを空のままにするのは、7000 または 8000 シリーズ および Firepower Management Center のユーザに対して CLI/シェル アクセスの RADIUS 認証を防止するためです。

この機能は、RADIUS サーバへの FMC 接続のみをテストできます。管理対象デバイスの RADIUS サーバへの接続をテストする機能はありません。

• Firepower Management Center：Firepower Management Center でのユーザの外部認証の有効化

• FTD：SSH の外部認証の設定

• 7000 および 8000 シリーズ：7000/8000 シリーズ デバイスの外部認証について

ロールがないユーザは、アクションを実行できません。外部認証オブジェクトで定義されたユーザ ロールは、このデフォルトのユーザ ロールをオーバーライドします。

シェル認証を有効にする場合は、[シェルアクセスフィルタ（Shell Access Filter）] を含む外部認証オブジェクトを有効にする必要があります。また、CLI/シェル アクセスのユーザは、認証オブジェクトがリストの順序で最も高いサーバに対してのみ認証できます。

1 番目の外部認証オブジェクト名は、CLI/シェル アクセスに使用されるのは 1 番目のオブジェクトだけであることを示すため、[有効（Enabled）] オプションの横に表示されます。

• [CAC] チェックボックス。

• [LDAP固有のパラメータ（LDAP-Specific Parameters）] > [詳細オプションを表示（Show Advanced Options）] > [ユーザ名テンプレート（User Name Template）]。

• [属性マッピング（Attribute Mapping）] > [UIアクセス属性（UI Access Attribute）]。

使用する予定の CAC で、HTTPS サーバ証明書とユーザ証明書が同じ認証局（CA）により発行される必要があります。

• [ユーザ ロールの作成（Create User Role）] をクリックします。

• コピーするユーザ ロールの横にある[Copy] アイコン（）をクリックします。

• 別のデバイスからカスタム ユーザ ロールをインポートします。

  1. 古いデバイスで、[Export] アイコン（）をクリックしてロールを PC に保存します。

  2. 新しいデバイスで、[システム（System）] > [ツール（Tools）] > [インポート/エクスポート（Import/Export）] を選択します。

  3. [パッケージのアップロード（Upload Package）] をクリックし、指示に従って保存したユーザ ロールを新しいデバイスにインポートします。

アクセス許可を選択すると、その下位にあるアクセス許可もすべて選択され、複数値を持つアクセス許可では最初の値が使用されます。上位のアクセス許可をクリアすると、下位のアクセス許可もすべてクリアされます。アクセス許可を選択しても、下位のアクセス許可を選択しない場合、アクセス許可がイタリックのテキストで表示されます。

カスタム ロールのベースとして使用する事前定義ユーザ ロールをコピーすると、その事前定義ロールに関連付けられているアクセス許可が事前選択されます。

カスタム ユーザ ロールに制限付き検索を適用できます。これらの検索では、[分析（Analysis）] メニューの下にあるテーブルやページでユーザが確認できるデータが制限されます。制限付き検索を設定するには、最初に、プライベートの保存済み検索を作成し、該当するメニュー ベースのアクセス許可の下で [制限付き検索（Restrictive Search）] ドロップダウン メニューからその検索を選択します。

このオプションにより、JDBC SSL 接続に対応しているアプリケーションを用いて、データベースに対して読み取り専用アクセスが可能になります。デバイスの認証を行うサードパーティのアプリケーションについては、システム設定内でデータベース アクセスを有効にする必要があります。

コントロールが淡色表示されている場合、設定は先祖ドメインに属しており、設定を変更する権限がありません。

Lights-Out Management を含むロールが割り当てられているユーザがログインしているときに、このロールを非アクティブにしてから再度アクティブにする場合、またはユーザのログイン セッション中にバックアップからユーザまたはユーザ ロールを復元する場合、そのユーザは Web インターフェイスに再度ログインして、IPMItool コマンドへのアクセスを再度取得する必要があります。