Gestione del criterio della password LDAP predefinita per la gestione delle API

Il sistema Apigee utilizza OpenLDAP per autenticare gli utenti nell'ambiente di gestione delle API. OpenLDAP rende disponibile questa funzionalità dei criteri delle password LDAP.

Questa sezione descrive come configurare il criterio predefinito per le password LDAP. Usa questa criterio per le password per configurare varie opzioni di autenticazione delle password, come il numero di tentativi di accesso non riusciti consecutivi dopo i quali non è più possibile utilizzare una password per autenticare un l'utente nella directory.

Questa sezione descrive inoltre come usare un paio di API per sbloccare gli account utente che sono stati bloccato in base agli attributi configurati nel criterio delle password predefinite.

Per ulteriori informazioni, consulta:

Configurazione della password LDAP predefinita Norme

Per configurare il criterio per le password LDAP predefinito:

  1. Connettiti al server LDAP utilizzando un client LDAP, ad esempio Apache Studio o ldapmodify. Di il server OpenLDAP predefinito rimane in ascolto sulla porta 10389 del nodo OpenLDAP.

    Per connetterti, specifica il DN di associazione o l'utente di cn=manager,dc=apigee,dc=com e la password OpenLDAP impostata al momento dell'installazione di Edge.

  2. Utilizza il client per accedere agli attributi dei criteri delle password per:
    • Utenti Edge: cn=default,ou=pwpolicies,dc=apigee,dc=com
    • Amministrazione di sistema perimetrale: cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
  3. Modifica i valori degli attributi dei criteri delle password come preferisci.
  4. Salva la configurazione.

Attributi predefiniti dei criteri per le password LDAP

Attributo Descrizione Predefinito 
pwdExpireWarning
 Il numero massimo di secondi prima della scadenza di una password per cui verranno restituiti messaggi di avviso relativi alla scadenza a un utente che si autentica nella directory.

604800

(equivalente a 7 giorni)

 
pwdFailureCountInterval

Numero di secondi dopo i quali i vecchi tentativi di associazione non riusciti consecutivi vengono eliminati definitivamente dal contatore di errori.

In altre parole, si tratta del numero di secondi dopo i quali viene reimpostato il conteggio dei tentativi di accesso consecutivi non riusciti.

Se pwdFailureCountInterval è impostato su 0, solo un'autenticazione riuscita può reimpostare il contatore.

Se pwdFailureCountInterval è impostato su >0, l'attributo definisce una durata dopo la quale il conteggio dei tentativi di accesso consecutivi non riusciti viene reimpostato automaticamente, anche se non è avvenuta alcuna autenticazione riuscita.

Suggeriamo di impostare questo attributo sullo stesso valore del parametro Attributo pwdLockoutDuration.

 300 
pwdInHistory

Numero massimo di password usate o passate per un utente che verranno memorizzate nell'attributo pwdHistory.

Quando cambia la password, l'utente non potrà più cambiarla con lei password precedenti.

 3 
pwdLockout

Se TRUE, specifica di bloccare un utente alla scadenza della password in modo che non possa più accedere.

 Falso 
pwdLockoutDuration

Numero di secondi durante i quali non è possibile utilizzare una password per autenticare l'utente a causa di troppi tentativi di accesso consecutivi non riusciti.

In altre parole, si tratta del periodo di tempo durante il quale un account utente rimarrà bloccato a causa del superamento del numero di tentativi di accesso consecutivi non riusciti impostato dall'attributo pwdMaxFailure.

Se il criterio pwdLockoutDuration viene impostato su 0, l'account utente rimarrà bloccato finché non viene sbloccata da un amministratore di sistema.

Fai riferimento a Sblocco di un account utente.

Se pwdLockoutDuration è impostato su >0, l'attributo definisce una durata per la quale l'account utente rimarrà bloccato. Allo scadere di questo periodo di tempo, l'account utente verrà automaticamente sbloccato.

Consigliamo di impostare questo attributo sullo stesso valore del parametro Attributo pwdFailureCountInterval.

 300 
pwdMaxAge

Numero di secondi dopo il quale la password di un utente (non-sysadmin) scade. Il valore 0 significa che le password non hanno scadenza. Il valore predefinito di 2592000 corrisponde a 30 giorni da al momento della creazione della password.

utente: 2592000

sysadmin: 0

 
pwdMaxFailure

Numero di tentativi di accesso consecutivi non riusciti dopo i quali una password potrebbe non essere utilizzata per autenticare un utente nella directory.

 3 
pwdMinLength

Specifica il numero minimo di caratteri richiesti per l'impostazione di una password.

 8

Sblocco di un account utente

L'account di un utente potrebbe essere bloccato a causa di attributi impostati nel criterio della password. Un utente con il ruolo Apigee sysadmin assegnato può utilizzare la seguente chiamata API per sbloccare . Sostituisci userEmail, adminEmail e password con i valori effettivi e i relativi valori.

Per sbloccare un utente:

/v1/users/userEmail/status?action=unlock -X POST -u adminEmail:password