# 管理者アカウントのセキュリティのベストプラクティスは？
**URL:** https://meta.discourse.org/t/admin-account-security-best-practices/181339
**Category:** Support
**Created:** [2021 年 2 月 27 日午後 8:34 UTC](https://meta.discourse.org/t/admin-account-security-best-practices/181339 "2021-02-27T20:34:56Z")
**Posts on this page:** 7
**Page:** 1
### Author:  [@bobbysmith](https://meta.discourse.org/u/bobbysmith)
#### Post date: [2021 年 2 月 27 日午後 8:34 UTC](https://meta.discourse.org/t/admin-account-security-best-practices/181339/1 "2021-02-27T20:34:57Z")
こんにちは、
このような件について検索しましたが、私が探しているものと完全に一致する情報を見つけることができませんでした。
管理者アカウントの保護を試みています。私の懸念は、おそらく極端なケースではあるものの、可能性としてはあり得るのですが、誰かが私の管理者アカウント名（ユーザーガイドなどの投稿に使用しているため可視化されています）を繰り返し試行し、単純に複数回試すことで私をロックアウトしてしまうことです。これは永続的なロックアウトにはならないと理解していますが、できればこの事態自体を避けたいと考えています。
2FA（多要素認証）の有効化は、この問題を防止できるでしょうか？
また、ベストプラクティスとして、自分自身でフォーラムを管理するためのモデレーターアカウントと、管理関連の作業全般を行うための管理者アカウントの両方を持つべきでしょうか？
私の混乱は、フォーラムを最初に設定した際、すべての作業を「system」アカウントが行っており、メッセージを投稿すると「system」から送信されていたことに起因していると思います。
よろしくお願いいたします。
---
### Author:  [@itsbhanusharma](https://meta.discourse.org/u/itsbhanusharma)
#### Post date: [2021 年 3 月 1 日午前 6:35 UTC](https://meta.discourse.org/t/admin-account-security-best-practices/181339/2 "2021-03-01T06:35:57Z")
誰かがあなたのアカウントにブルートフォース攻撃を仕掛けようとした場合、おそらくあなたのアカウントではなく、その相手のIPアドレスがBANされるはずです（私の記憶が正しければ）。
2FA（二段階認証）を使用すれば、悪意のある攻撃者を大きく遠ざけることができるので、確実に大きな助けになります。
自宅ネットワークで固定IPを使用している場合は、自分のIPアドレスをホワイトリストに登録して、ロックアウトされないようにできるかもしれません。
非常に長いパスワードを使用することも、ブルートフォース攻撃を防ぐための有効な対策の一つです。
---
### Author:  [@JimPas](https://meta.discourse.org/u/JimPas)
#### Post date: [2021 年 3 月 1 日午前 7:50 UTC](https://meta.discourse.org/t/admin-account-security-best-practices/181339/3 "2021-03-01T07:50:55Z")
> [@bobbysmith](#):
>
> 私の懸念は、おそらくエッジケースではあるものの可能性としてはあり得るのですが、私がユーザーガイドを投稿する際などに使用している管理者アカウントのユーザー名（公開されている）を誰かが繰り返し試行し、単純に複数回試すだけでロックアウトされるという事態です。
もし誰かがあなたとしてログインしようとしたとしても、アカウント作成時に使用したメールアドレスを知る必要があります。パスワードを忘れた場合でも、パスワードリセットを受け取るにはあなたのメールアカウントへのアクセスが必要になります（リセットが可能であるとしても）。
管理者としてログアウトしていますか？ログアウトしていない場合、フォーラムにアクセスするたびにIPアドレスとクッキーが認識され、自動的にログインされます。ログアウトした場合のみ、フォーラム作成時に使用したメールアドレスとパスワードを使って再ログインする必要があります。
あなたの説明から、実際に発生した事象ではなく、潜在的な状況への懸念をおっしゃっているのでしょうか？
別々のモデレーターアカウントと管理者アカウントを持つことについてですが、モデレーターアカウントを管理者権限を持たない限り、モデレーターとして管理者機能にはアクセスできません。私は管理者ですが、別々のモデレーターアカウントは持っていません。信頼しているモデレーター1人を管理者に昇格させましたが、彼女は管理者業務には手を出しません（フォーラムを壊すのが怖いのでしょうか？😆）。しかし、もし私に何かあった場合（102歳まで生きるつもりなので、まだ35年ありますが）、このモデレーターが引き継ぐことができます。他のモデレーターは「単なるモデレーター」です。
> [@bobbysmith](#):
>
> フォーラムを最初に設定したとき、「system」がすべての作業を行い、私がメッセージを投稿すると「system」から投稿されたように表示されていました。
「system」はフォーラムソフトウェアのことです。フォーラムを設定した際、あなた自身のアカウントも作成したはずです。それは必須要件だったはずです。何かを投稿する際、システムではなくあなた自身として投稿されたように表示されるはずです。あなたの投稿が「system」からではなく、あなたのユーザー名から投稿されたように表示されないのは奇妙に思えます。
---
### Author:  [@riking](https://meta.discourse.org/u/riking)
#### Post date: [2021 年 3 月 1 日午前 7:58 UTC](https://meta.discourse.org/t/admin-account-security-best-practices/181339/4 "2021-03-01T07:58:03Z")
> [@JimPas](#):
>
> もし誰かがあなたとしてログインしようとしても、アカウント設定時に使用したメールアドレスを知る必要があります。
それは正しくありません。ユーザー名でもログインできます。
2FA は、パスワードを盗まれた人がそれを再利用するのを防ぎますが、あなたのコンピュータにマルウェアが入っていないことが前提です。
最悪の場合でも、サーバーへの SSH アクセスは残っているため、そこからアクセス権を復元できます。
---
### Author:  [@JimPas](https://meta.discourse.org/u/JimPas)
#### Post date: [2021 年 3 月 1 日午前 8:01 UTC](https://meta.discourse.org/t/admin-account-security-best-practices/181339/5 "2021-03-01T08:01:15Z")
訂正します。SSH アクセス経路のことを忘れていました。 🤦♂️
---
### Author:  [@bobbysmith](https://meta.discourse.org/u/bobbysmith)
#### Post date: [2021 年 3 月 1 日午後 6:34 UTC](https://meta.discourse.org/t/admin-account-security-best-practices/181339/6 "2021-03-01T18:34:26Z")
皆様、お時間をいただきありがとうございます。役立つご回答をいただき感謝しています。
2FA（二要素認証）は常に推奨されるものであり、万が一の際にも少なくとも SSH アクセスは確保できる。確かにその通りですね。
また、
> [@JimPas](#):
>
> 「システム」とはフォーラムソフトウェアのことです。フォーラムを設定する際に、ご自身用のアカウントも作成されたはずです。
おっしゃる通りです。私は Admin アカウントを作成し、システムではなくそのアカウントから投稿していました。私の誤りでした。
> [@riking](#):
>
> それは誤りです。ユーザー名でログインすることは可能です。
ユーザー名でのログインを無効化し、メールアドレスでのログインを必須とする設定に変更できるかご存知の方はいらっしゃいますか？
改めてありがとうございます。
---
### Author:  [@jomaxro](https://meta.discourse.org/u/jomaxro)
#### Post date: [2021 年 3 月 1 日午後 7:44 UTC](https://meta.discourse.org/t/admin-account-security-best-practices/181339/7 "2021-03-01T19:44:24Z")
> [@bobbysmith](#):
>
> つまり、2 段階認証は常に有効な手段のようです
その通りです。これは Discourse だけでなく、あらゆる場所で当てはまります。利用しているサイトが 2 段階認証に対応している場合は、必ず設定してください。