ユーザー管理 on DefectDojo Documentation

オープンソース版の権限

Mon, 01 Jan 0001 00:00:00 +0000

オープンソース版DefectDojoは、Authorized Users（承認済みユーザー）モデルによって製品と製品タイプへのアクセスを制御します。各製品と各製品タイプには、そのレコードおよびその配下にあるデータを閲覧できる人を一覧表示するAuthorized Usersパネルがあります。

DefectDojo Proをお使いの場合、この記事はインストール環境には当てはまりません。Proではよりリッチなロールベースのシステムを使用しており、詳細はDefectDojoにおける権限で説明しています。

アクセスの付与方法

リストは2つあり、ユーザーはそのいずれか一方に含まれているだけでアクセス権を得られます。

製品のAuthorized Usersリスト は、その1つの製品と、その配下にあるすべて（エンゲージメント、テスト、検出事項、エンドポイント）へのアクセスを許可します。
製品タイプのAuthorized Usersリスト は、製品タイプ自体へのアクセスを許可し、さらにその配下のすべての製品に連鎖します。製品タイプで承認されたユーザーは、各子製品に個別に追加される必要はなく、すでにアクセス権が及んでいます。

ロールもグループもグローバルロールもありません。ユーザーはリストに載っているか（あるいはスーパーユーザーやスタッフメンバーである場合。詳細は下記参照）、そうでなければその製品を閲覧できません。

スーパーユーザーとスタッフはリストをバイパスします

DefectDojoで superuser（スーパーユーザー）または staff（スタッフ）とマークされたユーザーは、Authorized Usersリストの内容に関わらず、すべての製品と製品タイプを閲覧・操作できます。これらのリストはスタッフ以外のユーザーにアクセス権を付与するために存在するものであり、スタッフやスーパーユーザーを制限するものではありません。

新規にインストールされたDefectDojoで最初に作成されるアカウントは、自動的にスーパーユーザーになります。

監査ログ

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojoの監査ログには、いくつかの方法でアクセスできます。

個々のオブジェクトのログ

DefectDojoの各オブジェクトにはオブジェクト履歴が関連付けられており、UIからアクセスできます。この履歴は、アセット、エンゲージメント、テスト、検出事項、エンドポイントに加え、リスク受容についても記録されます。

クラシック（オープンソース）UIでは、オブジェクトログはオブジェクトのビュー内にある ☰ ハンバーガーメニューから確認できます。

監査ログ

Mon, 01 Jan 0001 00:00:00 +0000

監査ログは、DefectDojo内で実行されたアクションの時系列記録を提供します。どのユーザーがいつどのアクションを実行したかを記録することで、説明責任とコンプライアンスを確保します。

監査ログは以下の場面で役立ちます。

セキュリティ調査: 誰が機密性の高い操作を実行したかを特定します。
コンプライアンス: SOC 2、ISO 27001、または社内ガバナンス要件などの標準に対応する監査可能な履歴を提示します。
トラブルシューティング: 設定やオブジェクトが変更された時期を特定します。
説明責任: プラットフォーム全体における管理者およびユーザーの活動を追跡します。

つまり、監査ログは重要なイベントを一元的に記録することで、管理者が個々のオブジェクトの履歴を超えてインスタンスの活動履歴を把握できるようにします。

Accessing Audit Logs

監査ログには、サイドバーの「Configurations」サブメニューからアクセスできます。

Permissions

監査ログへのアクセスは、ユーザーのグローバルロールによって決まります。

API Importer、Reader、Writerのグローバルロールは監査ログへのアクセスを許可されませんが、MaintainerとOwnerのロールは許可されます。スーパーユーザーは、グローバルロールに関係なく監査ログにアクセスできます。

新しいユーザーの作成

Mon, 01 Jan 0001 00:00:00 +0000

このページでは、DefectDojoインスタンスに新しいユーザーを追加するための推奨オンボーディングワークフローについて説明します。DefectDojoのユーザーは、人間が操作する標準アカウントとしても、サービスアカウントとしても使用できます。

アカウントを作成した管理者は、初期認証情報(ユーザー名とパスワード)を新しいユーザーに届ける責任を負います。

Recommended workflow

Create the user account in DefectDojo (Superuser only):
- 👤 Users → ➕ New Userに移動します。
- 新しいユーザーの名前とメールアドレスを入力します。
- 一時パスワードを設定します。
- フォームを送信します。
必要に応じて権限を割り当てます — 製品/製品タイプのメンバーシップ、設定権限、グローバルロール、またはスーパーユーザーステータスなどです。詳細はユーザーの権限を設定するを参照してください。割り当てのない新しいユーザーは、いかなる製品や検出事項も閲覧できません。

新規ユーザーの作成

Mon, 01 Jan 0001 00:00:00 +0000

このページでは、DefectDojoインスタンスに新規ユーザーを追加する際に推奨されるオンボーディングの流れを説明します。DefectDojoのユーザーは、人間が操作する標準アカウントとしても、サービスアカウントとしても利用できます。

アカウントを作成した管理者は、初期認証情報（ユーザー名とパスワード）を新規ユーザーに届ける責任を負います。

推奨されるワークフロー

DefectDojoで ユーザーアカウントを作成する（スーパーユーザーのみ）:
- 👤 Users → Users に移動して、All Usersテーブルを開きます。
- 🛠️（レンチとドライバーが交差したアイコン）をクリックします。
- 新規ユーザーの名前とメールアドレスを入力します。
- 仮パスワードを設定します。
- フォームを送信します。
必要に応じて 権限を割り当てます — 製品/製品タイプのメンバーシップ、Configuration Permissions、Global Role、またはスーパーユーザーのステータスなどです。詳細はユーザーの権限を設定するを参照してください。何も割り当てられていない新規ユーザーは、いかなる製品や検出事項も閲覧できません。

DefectDojoにおける権限

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo Pro機能。 このページで説明しているメンバー/グループ/グローバルロールのRBACシステムは、DefectDojo Proの機能です。オープンソース版のDefectDojoは認可済みユーザーモデルを使用しています。オープンソース版のアクセス制御についてはそちらのページを、エディション間を移行する場合は3.0アップグレードノートを参照してください。

DefectDojoで作業するユーザーのチームがいる場合、ユーザーが特定のデータにのみアクセスできるように、ロールベースアクセス制御(RBAC)を適切に設定することが重要です。セキュリティデータは非常にセンシティブであり、DefectDojoのアクセス制御オプションを使えば、各チームメンバーの情報アクセスを細かく指定できます。

この記事では、DefectDojoにおける権限の仕組みの概要を説明します。権限によって制御できる各操作の詳細な内訳を確認したい場合は、**権限チャート**の記事を参照してください。

権限の種類

DefectDojoは4種類の権限を管理しています。

ユーザーはProductまたはProduct Typeにメンバーとして割り当てることができます。Productのメンバーシップにはロールが付属しており、これによりユーザーはDefectDojo内のデータタイプ(Product Type、Product、Engagement、Test、Finding)を閲覧・操作できます。ユーザーは複数のProductまたはProduct Typeのメンバーシップを持つことができ、それぞれ異なるレベルのアクセス権を設定できます。
ユーザーには設定権限を割り当てることもでき、これによりDefectDojoの設定ページにアクセスできるようになります。設定権限はProductやProduct Typeとは関連がなく、ロールとも紐づいていません。
ユーザーにはグローバルロールを割り当てることができ、これによりすべてのProductとProduct Typeに対して標準化されたレベルのアクセス権が付与されます。
ユーザーはスーパーユーザーとして設定できます。これは、DefectDojoのすべてのデータと設定に対する管理と操作を可能にする、管理者レベルのロールです。

これらの権限タイプはいずれも、ユーザーグループに割り当てることも可能です。特定のProduct専用のテストチームなど、DefectDojo内に多数のユーザーがいる場合、グループを使うことで権限をすばやく設定・維持できます。

SSOユーザーのログインを再有効化する（オープンソース版）

Mon, 01 Jan 0001 00:00:00 +0000

この手順が該当するケース

SSO（SAML、OIDC、OAuth）はDefectDojo Proの機能です。オープンソース版DefectDojo 3.xにアップグレードする（あるいは何らかの理由でProから離れる）と、SSOのログインオプションは削除され、SSO経由でプロビジョニングされていたユーザーはログインできなくなります。それらのアカウントにはローカルパスワードが一度も設定されていないため、UIやAPIから設定しようとしても、DefectDojoがそれらをSSOアカウントとして検出し、変更をブロックします。

これらのユーザーを削除して作り直す必要はありません（それでは履歴、権限、オブジェクトの所有権が失われてしまいます）。代わりに、バックエンドで各アカウントにローカルパスワードを付与し、次回ログイン時にパスワードのリセットを強制してください。

SSOがPro限定である背景については、SSOのセクションと3.0アップグレードノートを参照してください。

発生する理由

オープンソース版DefectDojoは、Djangoのローカルユーザーデータベースに対してのみ認証を行います。あるアカウントが「SSOユーザー」かどうかは、そのアカウントが使用可能なパスワードを持っているかどうかだけで判定されます。SSOでプロビジョニングされたアカウントは使用不可能なパスワードで作成されているため、次のようになります。

ローカルログインは失敗します（チェックすべきパスワードが存在しないため）。
UIおよびAPIの Force password reset（パスワードリセットの強制）コントロールはブロックされ、そのユーザーはSSO経由で認証されている旨のメッセージが表示されます。

実際のパスワードを設定すると、この両方の条件が同時に解消されます。アカウントはローカルでログインできるようになり、強制リセットフラグも設定できるようになります。

回避策

以下の手順は、uwsgi コンテナ内のDjangoシェルから実行します。

docker compose exec -it uwsgi ./manage.py shell

単一ユーザーの例

from dojo.user.models import Dojo_User, UserContactInfo

u = Dojo_User.objects.get(username="alice@example.com")
u.set_password("<temporary-strong-password>") # makes the account a local login account
u.save()

uci, _ = UserContactInfo.objects.get_or_create(user=u)
uci.force_password_reset = True # force a change on next login
uci.save()

ユーザーが次に行うこと

仮パスワードは各ユーザーへ帯域外で届けてください（メール、チームのチャット、あるいは普段秘密情報を共有している方法など）。次回ログイン時、DefectDojoはユーザーを Change Password（パスワード変更）ページへリダイレクトし、自分自身のパスワードを設定するまで他のどこにも進めないようにします。設定が完了すると、強制リセットフラグは自動的に解除されます。

ユーザーの権限を設定する

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo Pro の機能です。 このページで説明するメンバー / グループ / グローバルロールのRBACシステムは、DefectDojo Pro の一部です。オープンソース版のDefectDojoでは、Authorized Users モデルを使用します — オープンソース版のアクセス制御についてはそのページを、エディション間を移行する場合は 3.0 アップグレードノートを参照してください。

パーミッションタイプの概要

個々のユーザーには、割り当て可能な4種類の権限があります。

ユーザー認証情報の一括リセット

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojoのユーザー一覧では、多数のユーザーのAPIトークンを一括でローテーションしたり、パスワードの再設定を強制したりできます。定期的な認証情報の衛生管理や、認証情報の漏えいが疑われる場合の対応に役立ちます。

これらの一括操作は、スーパーユーザーとグローバルオーナーロールを持つユーザーのみが利用できます。いずれにも該当しない場合、選択用チェックボックスと一括操作ボタンは表示されません。

ユーザーを選択する

ユーザー一覧で、チェックボックスを使って1人以上のユーザーを選択します。リセットボタンを含む一括操作バーが表示されます。各操作の実行前には、ダイアログでの確認が求められます。

この操作は、明示的にチェックしたユーザーにのみ適用されます。自分自身のアカウントを一括リセットに含めることはできません。選択した行に自分のアカウントが含まれている場合、一括操作ボタンは無効化され、警告が表示されます。

APIトークンをリセットする

APIトークンをリセットは、選択した各ユーザーのAPIトークンをローテーションします。DefectDojoはユーザーの既存トークンを削除し、新しいトークンを発行します。ユーザーの現在のトークンは直ちに使用できなくなるため、古いトークンを使用しているスクリプトや連携機能はすべて新しいトークンに更新する必要があります。

新しいトークンの値は、管理者であるあなたには表示されません。影響を受ける各ユーザーには、UIから新しいトークンを取得するよう伝える**「APIトークンのリセット」**通知が送信されます(そのユーザーの通知設定に従って配信されます)。

パスワードのリセットを強制する

パスワードのリセットを強制は、選択した各ユーザーに次回ログイン時のパスワード再設定を強制するフラグを設定します。次にそのユーザーがリクエストを行うと、DefectDojoはパスワードの変更ページにリダイレクトし、新しいパスワードを設定するまで先に進めません。フラグは設定が完了すると自動的に解除されます。

この操作が行わないことにも注意してください。

一時パスワードの設定やランダム生成は行わず、認証情報をあなたに返すこともありません。
影響を受けるユーザーにメールや通知を送信することもありません。自動通知が行われないため、次回ログイン時にパスワードの変更を求められることを、対象ユーザーに別途伝えてください。

SSOユーザーについて: 単一ユーザーの編集フォームでは、SSOで認証されたアカウントに対してこの強制リセットフラグは無効化されますが、一括操作では認証方法にかかわらず、選択したすべてのユーザーにフラグが適用されます。SSOユーザーはDefectDojoのパスワードではなくIDプロバイダーを通じてサインインするため、パスワードのリセットを強制することは通常意味がありません。選択対象にSSO専用ユーザーを含めないようにしてください。

Proで権限を設定する

Mon, 01 Jan 0001 00:00:00 +0000

権限の種類の概要

個々のユーザーには、割り当てることができる4種類の権限があります。

ユーザーはProductまたはProduct Typeのメンバーとして割り当てることができます。これにより、特定のProductに割り当てられたロールに応じて、DefectDojo内のデータタイプ(Product Type、Product、Engagement、Test、Finding)を閲覧・操作できます。ユーザーは複数のProductまたはProduct Typeのメンバーシップを持つことができ、それぞれ異なるレベルのアクセス権を設定できます。
ユーザーには設定権限を割り当てることもでき、これによりDefectDojoの設定ページにアクセスできるようになります。設定権限はProductやProduct Typeとは関連がありません。
ユーザーにはグローバルロールを割り当てることができ、これによりすべてのProductとProduct Typeに対して標準化されたレベルのアクセス権が付与されます。
ユーザーはスーパーユーザーとして設定できます。これは、DefectDojoのすべてのデータと設定に対する管理と操作を可能にする、管理者レベルのロールです。

Product membership、設定権限、またはグローバルロールを複数のユーザーに同時に割り当てたい場合は、グループを作成することもできます。特定のProduct専用のテストチームなど、DefectDojo内に多数のユーザーがいる場合、グループの方が便利な機能となることがあります。

スーパーユーザーとグローバルロール

ロールベースアクセス制御(RBAC)の構成の一部として、追加のスーパーユーザーや、グローバルロールを持つユーザーの作成が必要になる場合があります。

スーパーユーザー(管理者)にはシステム上の制限が一切ありません。すべての設定を変更し、ユーザーを管理し、すべてのデータへの読み取り/書き込みアクセス権を持ちます。DefectDojoの全ユーザーに対するアクセスルールを変更することもできます。また、スーパーユーザーはすべてのシステム上の問題やアラートに関する通知も受け取ります。
グローバルロールを持つユーザーは、割り当てられたロールに応じて、DefectDojo内のあらゆるデータタイプ(Product Type、Product、Engagement、Test、Finding)を閲覧・操作できます。各ロールおよび関連する権限の詳細については、Introduction to Rolesの記事を参照してください。
ユーザーには特定の設定権限を割り当てることもでき、これにより特定のDefectDojo設定ページにアクセスできるようになります。ユーザーにはデフォルトで設定権限がありません。

デフォルトでは、新しいDefectDojoインスタンスで最初に作成されたアカウントがスーパーユーザー権限を持ちます。そのユーザーは、それ以降に作成されるすべてのDefectDojoユーザーの権限を編集できます。新たなスーパーユーザーの追加や、ユーザーへのグローバルロールの追加は、既存のスーパーユーザーのみが行えます。