ユーザー認証情報の一括リセット (Pro)

DefectDojoのユーザー一覧では、多数のユーザーのAPIトークンを一括でローテーションしたり、パスワードの再設定を強制したりできます。定期的な認証情報の衛生管理や、認証情報の漏えいが疑われる場合の対応に役立ちます。

これらの一括操作は、スーパーユーザーとグローバルオーナーロールを持つユーザーのみが利用できます。いずれにも該当しない場合、選択用チェックボックスと一括操作ボタンは表示されません。

ユーザーを選択する#

ユーザー一覧で、チェックボックスを使って1人以上のユーザーを選択します。リセットボタンを含む一括操作バーが表示されます。各操作の実行前には、ダイアログでの確認が求められます。

この操作は、明示的にチェックしたユーザーにのみ適用されます。自分自身のアカウントを一括リセットに含めることはできません。選択した行に自分のアカウントが含まれている場合、一括操作ボタンは無効化され、警告が表示されます。

APIトークンをリセットする#

APIトークンをリセットは、選択した各ユーザーのAPIトークンをローテーションします。DefectDojoはユーザーの既存トークンを削除し、新しいトークンを発行します。ユーザーの現在のトークンは直ちに使用できなくなるため、古いトークンを使用しているスクリプトや連携機能はすべて新しいトークンに更新する必要があります。

• 新しいトークンの値は、管理者であるあなたには表示されません。影響を受ける各ユーザーには、UIから新しいトークンを取得するよう伝える**「APIトークンのリセット」**通知が送信されます(そのユーザーの通知設定に従って配信されます)。

パスワードのリセットを強制する#

パスワードのリセットを強制は、選択した各ユーザーに次回ログイン時のパスワード再設定を強制するフラグを設定します。次にそのユーザーがリクエストを行うと、DefectDojoはパスワードの変更ページにリダイレクトし、新しいパスワードを設定するまで先に進めません。フラグは設定が完了すると自動的に解除されます。

この操作が行わないことにも注意してください。

• 一時パスワードの設定やランダム生成は行わず、認証情報をあなたに返すこともありません。
• 影響を受けるユーザーにメールや通知を送信することもありません。自動通知が行われないため、次回ログイン時にパスワードの変更を求められることを、対象ユーザーに別途伝えてください。

SSOユーザーについて: 単一ユーザーの編集フォームでは、SSOで認証されたアカウントに対してこの強制リセットフラグは無効化されますが、一括操作では認証方法にかかわらず、選択したすべてのユーザーにフラグが適用されます。SSOユーザーはDefectDojoのパスワードではなくIDプロバイダーを通じてサインインするため、パスワードのリセットを強制することは通常意味がありません。選択対象にSSO専用ユーザーを含めないようにしてください。