新規ユーザーの作成 (Open Source)
このページでは、DefectDojoインスタンスに新規ユーザーを追加する際に推奨されるオンボーディングの流れを説明します。DefectDojoのユーザーは、人間が操作する標準アカウントとしても、サービスアカウントとしても利用できます。
アカウントを作成した管理者は、初期認証情報（ユーザー名とパスワード）を新規ユーザーに届ける責任を負います。
推奨されるワークフロー
DefectDojoで ユーザーアカウントを作成する（スーパーユーザーのみ）:
- 👤 Users → Users に移動して、All Usersテーブルを開きます。
- 🛠️（レンチとドライバーが交差したアイコン）をクリックします。
- 新規ユーザーの名前とメールアドレスを入力します。
- 仮パスワードを設定します。
- フォームを送信します。
必要に応じて 権限を割り当てます — 製品/製品タイプのメンバーシップ、Configuration Permissions、Global Role、またはスーパーユーザーのステータスなどです。詳細はユーザーの権限を設定するを参照してください。何も割り当てられていない新規ユーザーは、いかなる製品や検出事項も閲覧できません。
認証情報を新規ユーザーへ帯域外で送付します（メール、チームのチャットツール、あるいは普段秘密情報を共有している方法など）。含める内容は次のとおりです。
- DefectDojoインスタンスのURL。
- ユーザー名（通常はメールアドレス）。
- 先ほど設定した仮パスワード。
- 初回ログイン時にパスワードを変更し、（インスタンスがMFAを使用している場合は）MFAを有効化すべき旨の注意書き。
新規ユーザーがログインし、認証情報をローテーションします。 次のいずれかの方法を取れます。
- 仮パスワードでログインし、プロフィールメニューからパスワードを変更する。
- ログインページの I forgot my password（パスワードを忘れた場合）リンクを使い、仮パスワードを使わずに直接パスワードを設定する。初期アカウントレコードを存在させるために仮パスワードは依然として必要ですが、パスワードリセットの流れを使う場合、ユーザーはそれを覚えておく必要はありません。
新規ユーザーがプロフィールメニューからMFAを設定します。 SSOの背後にないインスタンスでは、すべてのユーザーにMFAを必須とすることを強く推奨します。
SSOユーザー
インスタンスがSSOで構成されている場合、ワークフローは異なります。ユーザーは通常、IDプロバイダーからの初回ログイン時に作成され、その後はグループメンバーシップやロールを付与するだけで済みます。
オープンソース版DefectDojo（SSOはPro限定機能）に移行し、既存のSSOユーザーがログインできなくなった場合は、SSOユーザーのログインを再有効化するを参照してください。
MFAトークンを紛失した場合の復旧
ユーザーがMFAデバイスへのアクセスを失った場合は、接続トラブルシューティングガイドのMFA復旧セクションを参照してください。現時点では、MFAコードなしでアカウントからMFAを削除する方法はありません。回避策として、そのユーザー用に新しいアカウントを作成し、同じ権限を再付与してください。