メインコンテンツまでスキップ

初期パスワード変更（コミッショニング必須）

インストール直後の PlantPulse はすべてのインストール環境が同じ基本アカウントを持っています。これらの値はソースに記載されており、誰もが知ることができます。顧客に引き渡す前に必ずすべて変更してください。

このページは変更すべきアカウントの完全リストと各変更パスを1ヶ所にまとめたチェックリストです。運用中の定期交換についてはパスワード変更（認証情報ローテーション）を参照してください。

1つでも残すとそれが穴になります

以下のアカウントは異なる画面・異なるストレージを使用します。ウェブコンソールのパスワードのみを変更してコントロールセンターをそのままにしておくと、プラットフォーム全体を起動・停止できる画面が基本パスワードで開かれたままになります。

変更が必要な項目 — 全リスト​

#アカウントデフォルト値変更場所
1ウェブコンソール管理者admin / admin123!コンソール画面 → 下記
2コントロールセンター（:9700）admin / admin123!環境変数 → 下記
3Grafana（:3000）admin / kopens123!環境変数 → 下記
4Kestra（:8380）admin@plantpulse.io / Kopens123!環境変数 → 下記
5インフラストラクチャサービス（DB・MQ・ストレージなど）インストール環境により異なるpasswd.sh → 下記

1～4 はユーザーがログインする画面であり、ここで説明します。5 はサービス間で使用される認証情報であり、ローテーション手順が別途あります。

1. ウェブコンソール管理者​

最初に変更します。画面内で完結します。

  1. admin / admin123! でログインします。
  2. 左側メニューのSystem > ユーザーを開きます。
  3. admin 行の🔑 キーアイコン（ツールチップ「パスワード変更」）をクリックします。
  4. 現在のパスワード（admin123!）と新しいパスワードを入力して保存します。
自分のアカウントには現在のパスワードが必要です

他人のパスワードを変更する場合はADMIN権限だけで十分ですが、自分のアカウントは現在のパスワードを併せて入力する必要があります。詳細なルールと REST API の使用方法についてはユーザー管理 — パスワード変更を参照してください。

2. コントロールセンター（:9700）​

プラットフォーム全体をroot 権限で起動・停止・制御する別の専用ウェブ画面です。ウェブコンソールとアカウントが完全に異なり、コンソールでパスワードを変更してもここは変わりません。

環境変数2つで設定します。値を指定するとデフォルト値の代わりにその値が使用されます。

環境変数用途
PP_CONTROL_USERログインユーザー名
PP_CONTROL_PASSWORDログインパスワード

設定しない場合、すべてのインストール環境で同じ開発用デフォルトアカウントでログインされます。詳細な適用手順は認証情報ローテーション — コントロールセンターを参照してください。

ポート9700を外部に公開しないでください

パスワードを変更してもこのポートは運用者ネットワークセグメントのみからアクセス可能となるようファイアウォールで制限することが原則です → ポート構成。

3. Grafana（:3000）​

時系列可視化ダッシュボードです。デフォルトアカウントはadmin / kopens123!です。

環境変数デフォルト値
PP_GRAFANA_ADMIN_USERadmin
PP_GRAFANA_ADMIN_PASSWORDkopens123!

ホストのシークレットサイドカー（/etc/kopens/plantpulse-platform.env）に値を設定し、bin/restart.sh で再起動します。

4. Kestra（:8380）​

ワークフローエンジンです。デフォルトアカウントはadmin@plantpulse.io / Kopens123!です。

環境変数デフォルト値
PP_KESTRA_ADMIN_EMAILadmin@plantpulse.io
PP_KESTRA_ADMIN_PASSWORDKopens123!
これだけ変更するとS3アーカイブが静かに停止します

現在の出荷版ではウェアハウスサービス起動スクリプトが Kestra アカウントをハードコードしており（ウェアハウスサービス起動スクリプトのKESTRA_USER・KESTRA_PASS）、上記の環境変数を読み込みません。

⇒ Kestra のパスワードを変更すると、そのファイルの値も同時に修正する必要があります。修正しないと S3 アーカイブ・最適化ワークフローが認証に失敗しますが、画面にはエラーが表示されないため、数日後に「アーカイブが実行されていない」として発見されます。

これは製品の不具合として報告されています。修正版がリリースされたときは、このガイダンスは削除されます。

5. インフラストラクチャアカウントと API キー​

データベース・メッセージング・ストレージなどサービス間で使用される認証情報です。ユーザーがログインするわけではありませんが、デフォルト値のままでは社内ネットワーク内のすべてのユーザーがデータにアクセスできます。

bin/passwd.sh が起点です。レジストリに登録された変数のみローテーション可能であり、登録されていない値を指定するとエラーになり、静かにスキップされません。

コミッショニング時に登録されているすべての値をランダムにローテーションする場合は、ローテーションエンジンを直接呼び出します。--all はpasswd.shのオプションではなくrotate-secret.shのオプションです。

cd /opt/kopens/plantpulse-platform-docker

bin/passwd.sh --list                 # 무엇을 바꿀 수 있는지 (현재값은 마스킹)
bin/passwd.sh --list --show          # 현재값을 그대로 보기
bin/passwd.sh PP_PG_PASSWORD         # 값은 프롬프트로 입력 (argv·셸 히스토리에 남지 않습니다)
bin/passwd.sh PP_PG_PASSWORD=... PP_MINIO_PASSWORD=...   # 여러 개를 한 번에 → 재시작 1회
bin/passwd.sh --dry-run PP_MQ_PASSWORD                   # 계획만 출력
bin/rotate-secret.sh --dry-run --all --generate   # 계획 확인
bin/rotate-secret.sh --all --generate             # 실행
環境変数対象
PP_PG_PASSWORDPostgreSQL plantpulse
PP_TEMPORAL_PASSWORDPostgreSQL temporal
PP_HIVE_PASSWORDPostgreSQL hive
PP_CASSANDRA_PASSWORDCassandra
PP_REDIS_PASSWORDValkey（Redis）
PP_MINIO_PASSWORDMinIO
PP_MQ_PASSWORDKafka・HiveMQ（2つのサービスが同じ値を共有します）
PP_CEP_API_KEYCEP API
PP_DATA_GATEWAY_API_KEYデータゲートウェイ API
これら9つで終わりではありません

PP_API_KEY・PP_FLOW_WEBHOOK_API_KEY・PP_SPARK_PASSWORD・PP_OPCUA_PASSWORD・TLS keystore/truststore パスワードはまだレジストリに登録されておらずスクリプトは拒否します。登録されていないキーを指定するとエラーになり、静かにスキップされません。すべて認証情報ローテーション — 手動手順に従ってください。

順序を守ってください

サーバー側のアカウントを変更してもストレージを更新しないと、次の再起動でプラットフォームが起動しません。passwd.sh はこの順序を代わりに踏みますが、手動で行う場合は順序が重要な理由をまず読んでください。

変更後の確認​

各画面でデフォルトパスワードでログインできないことを直接確認してください。「変更したと思ったが設定ファイルが読み込まれなかった」が最も一般的な失敗です。

確認項目方法
ウェブコンソールログアウト後にadmin123! でログイン試行 → 失敗すること
Grafana:3000 でkopens123! によるログイン試行 → 失敗すること
Kestra:8380 でKopens123! によるログイン試行 → 失敗すること
S3 アーカイブKestra を変更した場合、次回スケジュール実行が成功したか確認
引き渡し文書に記録してください

変更したアカウントのリストと新しいパスワードを保管する担当者を引き渡し文書に記載してください。値そのものは記載しないでください。

関連ドキュメント​