SnowPro Advanced: Administrator 無料問題 2 / 10 ・ 分野1: Snowflake Security, RBAC, and User Administration
アカウントのパスワードポリシーを PASSWORD_HISTORY = 8 で運用していた。見直しで ALTER PASSWORD POLICY ... SET PASSWORD_HISTORY = 3 に下げ、1か月後に 12 に上げ直した。ユーザー U1 はこの間に一度もパスワードを変えていない。上げ直した直後に U1 がパスワードを変えるとき、履歴として照合される過去のパスワードはいくつか。
- 3つ。下げたときに古い5つが履歴から消え、上げ直しても消えたものは戻らない
- 12。上げ直したときに、下げる前の値も含めて最大12までを照合に使う
- 0。値を変えると履歴は空から数え直しになり、次の変更からたまり始める
- 8つ。下げても履歴は消えず照合する数が3つになっていたので、12に上げると保存済みの8つが照合に戻る
正解と解説を見る
正解: A
正解の理由
PASSWORD_HISTORY は、Snowflake が保存する直近のパスワードの数で、保存された値はパスワードを替えるときに使い回せない。値を下げると、新しい値の分だけ直近のものを残し、それより古いものは履歴から消す。公式の例でも、8 から 3 に下げると直近の3つを残して古い5つを消す。値を上げると、その後は前の値を多く保存していくが、すでに消した値が戻るわけではない。U1 はこの間にパスワードを替えていないので、上げ直した直後の履歴は3つのままで、照合されるのも3つである。なお現在のパスワードは履歴の数に入らない。
違う選択肢
「8つ。下げても履歴は消えず照合する数が3つになっていたので、12に上げると保存済みの8つが照合に戻る」… 下げたときに上限を超えた古い値は保存から消される。照合する数だけを絞って値は残す、という動きではないので、上げ直しても消えた5つは照合に戻らない。8つが照合されると考えると、下げた間に消えた値まで残っている前提になる。
「12。上げ直したときに、下げる前の値も含めて最大12までを照合に使う」… 12 は、上げ直したあとにこれから保存していける上限である。下げたときに消した値は戻らないので、上げ直した直後の履歴は直近の3つしかなく、12 の値がそろうのはこのあと U1 が何度もパスワードを替えてからになる。
「0。値を変えると履歴は空から数え直しになり、次の変更からたまり始める」… 値を変えても、履歴が空になって数え直しになるわけではない。下げたときは直近の3つを残し、上げたときもその3つはそのまま残る。0 と考えると、下げた時点で使い回しの防止が一度すべて外れてしまうことになる。
押さえどころ
PASSWORD_HISTORY の既定は 5、上限は 24 である。ほかの項目では PASSWORD_MAX_AGE_DAYS = 0 がパスワードを替えなくてよい意味になるが、公式はアカウント全体や個々のユーザーのポリシーでこの値を選ぶことを勧めていない。