ローカルアカウント
組み込みの管理者と、AnsibleForms のデータベースに保存されるユーザーとグループ
組み込みの管理者
起動のたびに、ローカルの admins グループと管理者ユーザーがなければ作成されます。管理者は三つの変数で制御します。
| 変数 | 既定値 | 意味 |
|---|---|---|
ADMIN_USERNAME | admin | 管理者のユーザー名。その名前のユーザーがいない場合に admins グループに作成されます。 |
ADMIN_PASSWORD | AnsibleForms!123 | 管理者の作成時（またはリセット時）に設定されるパスワード。 |
REINIT_ADMIN | 0 | 1 にすると管理者のパスワードを ADMIN_PASSWORD にリセットし、 admins に戻します。 |
ADMIN_PASSWORD が使われるのは、ユーザーの作成時とリセット時だけです。後から変更しても、それだけでは何も起きません。
公開されている既定のパスワード AnsibleForms!123 でサインインしたローカルユーザーは、パスワードの変更しかできません。ブラウザーには 閉じられないパスワード変更ページが開き、パスワードが変更されるまで、サーバーはほかのすべてのリクエストに 403 （コード password_change_required ）を返します。新しいパスワードは既定のものと異なる必要があり、変更後は 新しいパスワードでもう一度サインインします。この手順を省くには、初回起動の前に ADMIN_PASSWORD を独自の値に設定してください。
初回起動後に ADMIN_USERNAME を変更すると、その名前で 2 人目の管理者ユーザーが作成されます。元のユーザーは残ります。
REINIT_ADMIN=1は、設定されている間 起動のたびに パスワードをリセットします。紛失した管理者パスワードの回復に使い、 その後は削除して再起動してください。
ユーザーとグループ
ローカルのユーザーとグループは アクセス > ユーザー と アクセス > グループ で管理します。ユーザーには次のフィールドがあります。
| フィールド | 意味 |
|---|---|
| ユーザー名 | ログイン名。一意である必要があります。 |
| 説明 | 任意。 |
| パスワード | ハッシュとして保存されます。後から パスワードを変更 操作で変更します。 |
| メールアドレス | 任意。 |
| グループ | ユーザーの最初のローカルグループ。ほかのグループはユーザーのページの グループ タブで追加します。 |
ローカルユーザーは自分のパスワードをプロフィールで変更します。ほかのユーザーは、それぞれのディレクトリまたは ID プロバイダーで変更します。
ユーザーは複数のグループに所属でき、そのすべてのグループのロールが付与されます。ユーザーのページの グループ タブでグループを追加、 削除でき、グループのページの ユーザー タブでも同様です。ユーザーには少なくとも一つのグループが残ります。最後のグループは 削除できません。
ユーザーが残っているグループは削除できません。先にユーザーを外してください。 admins グループは削除も名前の変更もできず、 ユーザー admin は削除できません。
サインインの許可
ユーザーのページの 詳細 タブには サインインを許可 スイッチがあり、ユーザーリストの行メニューにも サインインをブロック と サインインを 許可 として用意されています。ローカルユーザーにも、LDAP や SSO のユーザーにも使えます。
- オン：ユーザーは通常どおりサインインします。
- オフ：ユーザーのセッションはすぐに終了し、管理者が再びオンにするまで、すべてのサインインが拒否されます。ページでは 先に確認を求められます。
戻るための手段であるユーザー admin ではスイッチをオフにできず、管理者が自分自身のアカウントをオフにすることもできません。LDAP または SSO のユーザーの ページには セッションを終了 もあり、ブロックせずにすべての場所からユーザーをサインアウトさせます。
ロールへの対応付け
ロールでは、ローカルグループを local/<group> 、ユーザーを local/<user> と指定します。既定では admins に admin が付与されます。
roles:
- name: admin
groups:
- local/admins
- name: operator
groups:
- local/operators
users:
- local/svc-backup
組み込みの管理者がディレクトリや ID プロバイダーを使えないときでも必ずサインインできるよう、 admin ロールには local/admins を残しておいてください。 config.yaml がまったく読み込めない場合でも、 local/admins のメンバーには admin ロールが付与されるので、サインインして修正できます。ロールオプションについては ロール を参照してください。
ローカルアカウントと LDAP
ユーザー名とパスワードによるログインでは、LDAP より先にローカルユーザーが確認されます。ローカルユーザーがディレクトリのユーザーと同じ名前の場合、 常にローカルアカウントが優先され、その名前ではディレクトリのパスワードは使えません。ローカルアカウントには、 ディレクトリのアカウントと重ならない名前を付けてください。たとえば svc- のプレフィックスを付けます。