#비밀번호 정책

This feature is provided by the plugin «비밀번호 정책», included in Professional Edition and above commercial editions

#소개

모든 사용자를 위한 비밀번호 규칙, 비밀번호 유효 기간, 비밀번호 로그인 보안 정책을 설정하고 잠긴 사용자를 관리합니다.

#비밀번호 규칙

#최소 비밀번호 길이

비밀번호의 최소 길이를 설정합니다. 최대 길이는 64자입니다.

#비밀번호 복잡성 요구 사항

다음 옵션을 지원합니다:

• 문자와 숫자를 반드시 포함해야 합니다.
• 문자, 숫자, 기호를 반드시 포함해야 합니다.
• 숫자, 대문자 및 소문자를 반드시 포함해야 합니다.
• 숫자, 대문자 및 소문자, 기호를 반드시 포함해야 합니다.
• 다음 문자 중 3가지 이상을 반드시 포함해야 합니다: 숫자, 대문자, 소문자, 특수 문자
• 제한 없음

#비밀번호에 사용자 이름 포함 불가

비밀번호에 현재 사용자의 사용자 이름을 포함할 수 있는지 여부를 설정합니다.

#비밀번호 이력 개수

사용자가 최근에 사용한 비밀번호 개수를 기억하여, 비밀번호 변경 시 이전에 사용했던 비밀번호를 재사용할 수 없도록 합니다. 0은 제한 없음을 의미하며, 최대 개수는 24개입니다.

#비밀번호 만료 설정

#비밀번호 유효 기간

사용자 비밀번호의 유효 기간입니다. 사용자는 비밀번호가 만료되기 전에 비밀번호를 변경해야 유효 기간이 재설정됩니다. 만료 전에 비밀번호를 변경하지 않으면 기존 비밀번호로 로그인할 수 없으며, 관리자의 도움을 받아 재설정해야 합니다. 다른 로그인 방식이 설정되어 있다면, 사용자는 해당 방식으로 로그인할 수 있습니다.

#비밀번호 만료 알림 채널

사용자 비밀번호 만료일 10일 전부터 사용자가 로그인할 때마다 알림을 보냅니다. 기본적으로 "비밀번호 만료 알림"이라는 이름의 시스템 내 메시지 채널로 전송되며, 알림 관리에서 채널을 관리할 수 있습니다.

#설정 권장 사항

비밀번호 만료로 인해 관리자 계정을 포함한 계정에 로그인하지 못하는 상황이 발생할 수 있으므로, 비밀번호를 제때 변경하고 시스템 내에 사용자 비밀번호를 수정할 수 있는 여러 계정을 설정해 두는 것이 좋습니다.

#비밀번호 로그인 보안

유효하지 않은 비밀번호 로그인 시도 횟수를 제한합니다.

#최대 유효하지 않은 비밀번호 로그인 시도 횟수

사용자가 지정된 시간 간격 내에 로그인할 수 있는 최대 시도 횟수를 설정합니다.

#최대 유효하지 않은 비밀번호 로그인 시간 간격 (초)

사용자의 최대 유효하지 않은 로그인 시도 횟수를 계산하는 시간 간격(초)을 설정합니다.

#잠금 기간 (초)

사용자가 유효하지 않은 비밀번호 로그인 제한을 초과했을 때, 해당 사용자를 잠그는 기간을 설정합니다 (0은 제한 없음을 의미). 사용자가 잠금 상태인 동안에는 API 키를 포함한 어떤 인증 방식으로도 시스템에 접근할 수 없습니다. 수동으로 사용자를 잠금 해제해야 하는 경우, 사용자 잠금 해제를 참조하세요.

#시나리오

#제한 없음

사용자의 유효하지 않은 비밀번호 시도 횟수에 제한을 두지 않습니다.

#시도 빈도 제한, 사용자 잠금 없음

예: 사용자는 5분마다 최대 5번까지 로그인 시도를 할 수 있습니다.

#제한 초과 시 사용자 잠금

예: 사용자가 5분 이내에 5번 연속으로 유효하지 않은 비밀번호로 로그인 시도 시, 해당 사용자를 2시간 동안 잠급니다.

#설정 권장 사항

• 유효하지 않은 비밀번호 로그인 시도 횟수 및 시간 간격 설정은 일반적으로 짧은 시간 내에 빈번하게 발생하는 비밀번호 로그인 시도를 제한하여 무차별 대입 공격을 방지하는 데 사용됩니다.
• 제한 초과 시 사용자를 잠글지 여부는 실제 사용 시나리오를 고려하여 결정해야 합니다. 잠금 기간 설정은 악의적으로 이용될 수 있습니다. 공격자가 특정 계정을 대상으로 의도적으로 여러 번 잘못된 비밀번호를 입력하여 계정을 잠그고 정상적인 사용을 방해할 수 있습니다. 이러한 공격을 방지하기 위해 IP 제한, API 요청 빈도 제한 등의 수단을 함께 활용할 수 있습니다.
• 계정 잠금으로 인해 관리자 계정을 포함한 시스템 접근이 불가능해질 수 있으므로, 시스템 내에 사용자 잠금을 해제할 수 있는 권한을 가진 여러 계정을 설정해 두는 것이 좋습니다.