新しいユーザーの作成 (Pro)
このページでは、DefectDojoインスタンスに新しいユーザーを追加するための推奨オンボーディングワークフローについて説明します。DefectDojoのユーザーは、人間が操作する標準アカウントとしても、サービスアカウントとしても使用できます。
アカウントを作成した管理者は、初期認証情報(ユーザー名とパスワード)を新しいユーザーに届ける責任を負います。
Recommended workflow
Create the user account in DefectDojo (Superuser only):
- 👤 Users → ➕ New Userに移動します。
- 新しいユーザーの名前とメールアドレスを入力します。
- 一時パスワードを設定します。
- フォームを送信します。
必要に応じて権限を割り当てます — 製品/製品タイプのメンバーシップ、設定権限、グローバルロール、またはスーパーユーザーステータスなどです。詳細はユーザーの権限を設定するを参照してください。割り当てのない新しいユーザーは、いかなる製品や検出事項も閲覧できません。
帯域外の手段で認証情報を新しいユーザーに送信します(メール、チームのチャットツール、または通常シークレットを共有する方法など)。以下を含めてください。
- DefectDojoインスタンスのURL。
- ユーザー名(通常はメールアドレス)。
- 先ほど設定した一時パスワード。
- 初回ログイン時にパスワードを変更し、(インスタンスがMFAを使用している場合は)MFAを有効にする必要がある旨の注意事項。
新しいユーザーはログインし、認証情報を更新します。 次のいずれかの方法を選択できます。
- 一時パスワードでログインし、プロフィールメニューから変更する。
- ログインページのI forgot my passwordリンクを使用して、一時パスワードを使わずに直接パスワードを設定する。一時パスワードは初期アカウントレコードを作成するために必要ですが、パスワードリセットフローを使用する場合、ユーザーはそれを記憶しておく必要はありません。
新しいユーザーはプロフィールメニューからMFAを設定します。SSOを利用していないインスタンスでは、すべてのユーザーにMFAを要求することを強くお勧めします。
SSO Users
インスタンスがSSOで設定されている場合、ワークフローは異なります。通常、ユーザーはIDプロバイダーからの初回ログイン時に作成され、その後グループメンバーシップやロールを付与するだけで済みます。
Recovering from a lost MFA token
ユーザーがMFAデバイスにアクセスできなくなった場合、登録時に発行されたリカバリーコードのいずれかを使用してログインできます。それらも失われている場合、サーバーアクセス権を持つ管理者はpython manage.py remove_mfa --username <username>を使用してアカウントからMFAをクリアできます。その後、ユーザーはパスワードでログインし、再度登録します — 権限と履歴は保持されるため、代替アカウントを作成する必要はありません。
完全な復旧オプションについては多要素認証を参照してください。なお、Cloud Manager自体へのアクセスは別の問題であることに注意してください — 詳細は接続トラブルシューティングガイドを参照してください。