初期パスワード変更（コミッショニング必須）

インストール直後の PlantPulse は、すべてのインストール版が同一のデフォルトアカウントを持っています。これらの値は ソースに記載されているため、誰でも知ることができます。顧客先に引き渡す前に、必ずすべて変更してください。

このページは、変更が必要なアカウントの全リストと、それぞれの変更手順を1か所にまとめたチェックリストです。 運用中の定期的な交換は パスワード変更（クレデンシャルローテーション） を参照してください。

1つでも残せば、それが入り口になります

以下のアカウントは、異なる画面・異なるストレージを使用します。Webコンソールのパスワードだけ変更して コントロールセンターをそのままにしておくと、プラットフォーム全体を起動・停止できる画面がデフォルトパスワードで 開いたままになります。

---

変更が必要なもの — 全リスト

#	アカウント	デフォルト値	変更場所
1	Webコンソール 管理者	admin / admin123!	コンソール画面 → 下記
2	コントロールセンター(:9700)	admin / admin123!	環境変数 → 下記
3	PlantPulse Dashboard(:3000)	admin / admin	PlantPulse Dashboard画面内で → 下記
4	Kestra(:8380)	admin@plantpulse.io / Kopens123!	環境変数 → 下記
5	インフラサービス (DB・MQ・ストレージなど)	インストール版ごとに異なる	passwd.sh → 下記

1〜4 は 人がログインする画面のためここで扱います。5 はサービス間で使用する認証情報のため、 ローテーション手順が別途あります。

---

1. Webコンソール管理者

最初に変更します。画面内で完結します。

1. admin / admin123! でログインします。
2. 左側メニュー System > ユーザー を開きます。
3. admin 行の 🔑 鍵アイコン（ツールチップ「パスワード変更」）をクリックします。
4. 現在のパスワード(admin123!) と新しいパスワードを入力して保存します。

自分のアカウントは現在のパスワードが必要です

他人のパスワードを変更する場合は ADMIN 権限があれば十分ですが、自分のアカウントは現在のパスワードを 一緒に入力する必要があります。詳細なルールと REST API の使用方法は ユーザー管理 — パスワード変更 にあります。

---

2. コントロールセンター (:9700)

プラットフォーム全体を root権限で起動・停止・制御する別のWeb画面です。Webコンソールとはアカウントが 完全に異なり、コンソールでパスワードを変更してもこちらはそのままです。

環境変数2つで設定します。値を指定すると、デフォルト値の代わりにその値が使用されます。

環境変数	用途
PP_CONTROL_USER	ログインユーザー名
PP_CONTROL_PASSWORD	ログインパスワード

設定しない場合、すべてのインストールで同一の開発用デフォルトアカウントでログインされます。 詳細な適用手順は クレデンシャルローテーション — コントロールセンター を参照してください。

9700を外部に公開しないでください

パスワードを変更しても、このポートはオペレーター帯域からのみ到達可能になるようファイアウォールで遮断するのが原則です → ポート構成。

---

3. PlantPulse Dashboard (:3000)

時系列可視化ダッシュボードです。デフォルトアカウントは PlantPulse Dashboard 内蔵のデフォルト値 admin / admin です。

環境変数では変更できません

🔴 PP_GRAFANA_ADMIN_USER · PP_GRAFANA_ADMIN_PASSWORD という変数は存在しません。 PlantPulse Dashboard の管理者アカウントは PlantPulse Dashboard自身のストレージに存在し、設定ファイルの値はストレージに ユーザーが1人もいない場合にのみ参照されます — 一度作成された後はストレージが優先され、その事実を 知らせるエラーもありません。そのため、そもそも記載しません（2026-09-08 決定）。

変更手順は2つです。

方法	いつ
PlantPulse Dashboard画面 → プロフィール → Change password	通常時
dashboard-cli --homepath <dashboard> admin reset-admin-password --password-from-stdin	ログインできない時

一緒に設定する必要がある値 — PP_GRAFANA_DB_PASSWORD

2026-09-08 以降、PlantPulse Dashboard のストレージは PostgreSQL です（ダッシュボード・データソース・ユーザー・ アラームルール）。その接続情報が必要です。

環境変数	デフォルト値
PP_GRAFANA_DB_USER	grafana (固定 — スキーマがこの名前でロールを作成します)
🔑 PP_GRAFANA_DB_PASSWORD	なし — 起動必須

🔴 空の場合 pd start が exit 3 で停止します。 ホストのシークレットサイドカー (/etc/kopens/plantpulse-platform.env) に記載し、bin/restart.sh で再起動します。

---

4. Kestra (:8380)

ワークフローエンジンです。デフォルトアカウントは admin@plantpulse.io / Kopens123! です。

環境変数	デフォルト値
PP_KESTRA_ADMIN_EMAIL	admin@plantpulse.io
PP_KESTRA_ADMIN_PASSWORD	Kopens123!

以前ここにあった「変更するとアーカイブが停止する」警告は削除されました

2026-09-04 以前は、ウェアハウスが Kestra に HTTP で接続し、起動スクリプトがそのアカウントを ハードコーディングしていたため、Kestra のパスワードを変更すると S3 アーカイブが静かに停止していました。

現在はその経路はありません。アーカイブ・最適化は Temporal ワーカーが実行します (PP-S3-ARCHIVER-DAILY 毎日 01:30 · PP-S3-OPTIMIZER-WEEKLY 日曜日 04:00)。 ウェアハウスは Kestra の認証情報を読み取らず、保持もしていません。

⇒ Kestra のパスワードは安心して変更してください。 アーカイブに影響はありません。

---

5. インフラアカウントとAPIキー

データベース・メッセージング・ストレージなど、サービス間で使用する認証情報です。人がログインすることは ありませんが、デフォルト値のままでは社内ネットワーク内の誰でもデータにアクセスできます。

bin/passwd.sh が正面入り口です。レジストリに登録された変数のみローテーションでき、登録されていない 値を指定すると、黙って無視せず拒否します。

cd /opt/kopens/plantpulse-platform-docker

bin/passwd.sh --list                 # 무엇을 바꿀 수 있는지 (현재값은 마스킹)
bin/passwd.sh --list --show          # 현재값을 그대로 보기
bin/passwd.sh PP_PG_PASSWORD         # 값은 프롬프트로 입력 (argv·셸 히스토리에 남지 않습니다)
bin/passwd.sh PP_PG_PASSWORD=... PP_S3_PASSWORD=...   # 여러 개를 한 번에 → 재시작 1회
bin/passwd.sh --dry-run PP_MQ_PASSWORD                   # 계획만 출력

コミッショニング時に登録された値すべてをランダムにローテーションするには、ローテーションエンジンを直接呼び出します。--all は passwd.sh ではなく rotate-secret.sh のオプションです。

bin/rotate-secret.sh --dry-run --all --generate   # 계획 확인
bin/rotate-secret.sh --all --generate             # 실행

環境変数	対象
PP_PG_PASSWORD	PostgreSQL plantpulse
PP_TEMPORAL_PASSWORD	PostgreSQL temporal
PP_HIVE_PASSWORD	PostgreSQL hive
PP_CASSANDRA_PASSWORD	Aster TSDB
PP_REDIS_PASSWORD	Valkey (Redis)
PP_S3_PASSWORD	RustFS
PP_MQ_PASSWORD	Kafka · HiveMQ (2つのサービスが同じ値を共有します)
PP_CEP_API_KEY	CEP API
PP_DATA_GATEWAY_API_KEY	データゲートウェイ API

この9つで終わりではありません

PP_API_KEY · PP_FLOW_WEBHOOK_API_KEY · PP_SPARK_PASSWORD · PP_OPCUA_PASSWORD TLS keystore/truststore のパスワードはまだレジストリにないため、スクリプトが拒否します。 登録されていないキーを指定すると、黙って無視せず「レジストリにない変数」として拒否します。 すべて クレデンシャルローテーション — 手動手順 に従ってください。

順序を守ってください

サーバー側アカウントを変更して保管庫を更新しないと、次の再起動でプラットフォームが起動しません。 passwd.sh はこの順序を代わりに実行しますが、手動で行う場合は なぜ順序が重要なのか を先に読んでください。

---

変更後の確認

各画面でデフォルトパスワードでログインできないことを直接確認してください。「変更したと思ったのに 設定ファイルが読み込まれていなかった」が最も一般的な失敗です。

確認項目	方法
Webコンソール	ログアウト後 admin123! でログイン試行 → 失敗すれば正常
PlantPulse Dashboard	:3000 で admin / admin ログイン試行 → 失敗すれば正常
Kestra	:8380 で Kopens123! ログイン試行 → 失敗すれば正常
S3アーカイブ	Kestra を変更した場合、次のスケジュール実行が成功したか確認

引き継ぎ文書に記載してください

変更したアカウントのリストと誰が新しいパスワードを保管するかを引き継ぎ文書に記録してください。値自体は 記載しないでください。

---

関連ドキュメント

• パスワード変更（クレデンシャルローテーション） — 運用中の定期的な交換
• ユーザー管理 — アカウント作成・権限・パスワードルール
• セキュリティ設定 — API認証、TLS、セキュリティヘッダー
• ポート構成 — 外部に公開してはいけないポート