Edge for Private Cloud v. 4.16.09
Apigee 系统使用 OpenLDAP 在 API 管理环境中对用户进行身份验证。 OpenLDAP 提供了此 LDAP 密码政策功能。
本部分介绍了如何配置提供的默认 LDAP 密码政策。使用此密码政策可配置各种密码身份验证选项，例如，在连续登录失败达到指定次数后，密码将无法再用于向目录验证用户身份。
本部分还介绍了如何使用一些 API 来解锁已根据默认密码政策中配置的属性锁定的用户账号。
配置默认 LDAP 密码政策
如需配置默认 LDAP 密码政策，请执行以下操作：
- 使用 LDAP 客户端（例如 Apache Studio 或 ldapmodify）连接到您的 LDAP 服务器。默认情况下，OpenLDAP 服务器在 OpenLDAP 节点上的端口 10389 上监听。
如需进行连接，请指定 cn=manager,dc=apigee,dc=com 的绑定 DN 或用户，以及您在安装 Edge 时设置的 OpenLDAP 密码。 - 使用客户端导航到以下各项的密码政策属性：
- Edge 用户：cn=default,ou=pwpolicies,dc=apigee,dc=com
- Edge 系统管理员：cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
- 根据需要修改密码政策属性值。
- 保存配置。
默认 LDAP 密码政策属性
|
属性 |
说明 |
默认 |
|---|---|---|
|
pwdExpireWarning |
在密码到期前，向正在对目录进行身份验证的用户返回到期警告消息的最长秒数。 |
604800 （相当于 7 天） |
|
pwdFailureCountInterval |
从失败计数器中清除旧的连续失败绑定尝试的秒数。 换句话说，这是连续登录尝试失败次数重置之前经过的秒数。 如果 pwdFailureCountInterval 设置为 0，则只有成功进行身份验证才能重置计数器。 如果 pwdFailureCountInterval 设置为 >0，则该属性定义一个时长，在此之后，连续失败的登录尝试次数会自动重置，即使未成功进行身份验证也是如此。 我们建议将此属性设置为与 pwdLockoutDuration 属性相同的值。 |
300 |
|
pwdInHistory |
将存储在 pwdHistory 属性中的用户已用密码或过去密码的数量上限。 更改密码时，用户将无法将其更改为任何过去的密码。 |
3 |
|
pwdLockout |
如果为 TRUE，则指定在用户密码过期时锁定用户，使其无法再登录。 |
错误 |
|
pwdLockoutDuration |
由于连续登录失败次数过多，密码无法用于对用户进行身份验证的秒数。 换句话说，这是用户账号因超出 pwdMaxFailure 属性设置的连续登录失败次数而保持锁定的时长。 如果 pwdLockoutDuration 设置为 0，则用户账号将保持锁定状态，直到系统管理员将其解锁。 请参阅下文中的“解锁用户账号”。 如果 pwdLockoutDuration 设置为 >0，则该属性定义用户账号保持锁定的时长。此时间段过后，用户账号将自动解锁。 我们建议将此属性设置为与 pwdFailureCountInterval 属性相同的值。 |
300 |
|
pwdMaxAge |
用户（非系统管理员）密码在多少秒后过期。值为 0 表示密码永不过期。默认值 2592000 对应于密码创建后的 30 天。 |
user: 2592000 sysadmin：0 |
|
pwdMaxFailure |
连续登录失败次数，达到此次数后，密码可能无法用于向目录验证用户身份。 |
3 |
|
pwdMinLength |
指定设置密码时所需的字符数量下限。 |
8 |
解锁用户账号
用户的账号可能会因密码政策中设置的属性而被锁定。分配了 sysadmin Apigee 角色的用户可以使用以下 API 调用来解锁用户账号。将大括号中的值替换为实际值。
如需解锁用户，请按如下所述操作：
/v1/users/{userEmail}/status?action=unlock -X POST -u {adminEmail}:{password}