Edge for Private Cloud v. 4.17.09
Das Apigee-System verwendet OpenLDAP, um Nutzer in Ihrer API-Verwaltungsumgebung zu authentifizieren. OpenLDAP stellt diese LDAP-Passwortrichtlinienfunktion zur Verfügung.
In diesem Abschnitt wird beschrieben, wie Sie die standardmäßige LDAP-Passwortrichtlinie konfigurieren. Mit dieser Passwortrichtlinie können Sie verschiedene Optionen für die Passwortauthentifizierung konfigurieren, z. B. die Anzahl der aufeinanderfolgenden fehlgeschlagenen Anmeldeversuche, nach denen ein Passwort nicht mehr zur Authentifizierung eines Nutzers im Verzeichnis verwendet werden kann.
In diesem Abschnitt wird auch beschrieben, wie Sie mit einigen APIs Nutzerkonten entsperren, die gemäß den in der Standardpasswortrichtlinie konfigurierten Attributen gesperrt wurden.
Weitere Informationen finden Sie unter:
Standard-LDAP-Passwortrichtlinie konfigurieren
So konfigurieren Sie die Standard-LDAP-Passwortrichtlinie:
- Stellen Sie über einen LDAP-Client wie Apache Studio oder ldapmodify eine Verbindung zu Ihrem LDAP-Server her. Standardmäßig überwacht der OpenLDAP-Server den Port 10389 auf dem OpenLDAP-Knoten.
Geben Sie zum Herstellen einer Verbindung den Bind-DN oder Nutzer cn=manager, dc=apigee,dc=com und das OpenLDAP-Passwort an,das Sie bei der Edge-Installation festgelegt haben. - Verwenden Sie den Client, um die Passwortrichtlinienattribute für Folgendes aufzurufen:
- Edge-Nutzer: cn=default,ou=pwpolicies,dc=apigee,dc=com
- Edge-Sysadmin: cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
- Bearbeiten Sie die Attributwerte der Passwortrichtlinie nach Bedarf.
- Speichern Sie die Konfiguration.
Standardattribute der LDAP-Passwortrichtlinie
|
Attribut |
Beschreibung |
Standard |
|---|---|---|
|
pwdExpireWarning |
Die maximale Anzahl von Sekunden vor dem Ablauf eines Passworts, ab der Warnmeldungen zum Ablauf an einen Nutzer zurückgegeben werden, der sich beim Verzeichnis authentifiziert. |
604800 (entspricht 7 Tagen) |
|
pwdFailureCountInterval |
Anzahl der Sekunden, nach denen alte aufeinanderfolgende fehlgeschlagene Bindungsversuche aus dem Fehlerzähler gelöscht werden. Mit anderen Worten: Dies ist die Anzahl der Sekunden, nach denen die Anzahl der aufeinanderfolgenden fehlgeschlagenen Anmeldeversuche zurückgesetzt wird. Wenn pwdFailureCountInterval auf 0 gesetzt ist, kann der Zähler nur durch eine erfolgreiche Authentifizierung zurückgesetzt werden. Wenn pwdFailureCountInterval auf >0 gesetzt ist, definiert das Attribut eine Dauer, nach der die Anzahl der aufeinanderfolgenden fehlgeschlagenen Anmeldeversuche automatisch zurückgesetzt wird, auch wenn keine erfolgreiche Authentifizierung stattgefunden hat. Wir empfehlen, dieses Attribut auf denselben Wert wie das Attribut pwdLockoutDuration festzulegen. |
300 |
|
pwdInHistory |
Maximale Anzahl der verwendeten oder früheren Passwörter eines Nutzers, die im Attribut pwdHistory gespeichert werden. Wenn die Nutzerin ihr Passwort ändert, kann sie es nicht in eines ihrer früheren Passwörter ändern. |
3 |
|
pwdLockout |
Wenn TRUE, wird ein Nutzer gesperrt, wenn sein Passwort abläuft, sodass er sich nicht mehr anmelden kann. |
Falsch |
|
pwdLockoutDuration |
Anzahl der Sekunden, in denen ein Passwort aufgrund zu vieler aufeinanderfolgender fehlgeschlagener Anmeldeversuche nicht zur Authentifizierung des Nutzers verwendet werden kann. Mit anderen Worten: Dies ist die Zeitspanne, für die ein Nutzerkonto gesperrt bleibt, weil die Anzahl der aufeinanderfolgenden fehlgeschlagenen Anmeldeversuche, die durch das Attribut pwdMaxFailure festgelegt ist, überschritten wurde. Wenn pwdLockoutDuration auf 0 gesetzt ist, bleibt das Nutzerkonto gesperrt, bis ein Systemadministrator es entsperrt. Weitere Informationen finden Sie unten im Abschnitt „Nutzerkonto entsperren“. Wenn pwdLockoutDuration auf einen Wert größer als 0 festgelegt ist, definiert das Attribut die Dauer, für die das Nutzerkonto gesperrt bleibt. Nach Ablauf dieses Zeitraums wird das Nutzerkonto automatisch entsperrt. Wir empfehlen, dieses Attribut auf denselben Wert wie das Attribut pwdFailureCountInterval festzulegen. |
300 |
|
pwdMaxAge |
Anzahl der Sekunden, nach denen das Passwort eines Nutzers (kein Systemadministrator) abläuft. Der Wert 0 bedeutet, dass Passwörter nicht ablaufen. Der Standardwert von 2592000 entspricht 30 Tagen ab dem Zeitpunkt, an dem das Passwort erstellt wurde. |
user: 2592000 sysadmin: 0 |
|
pwdMaxFailure |
Anzahl der aufeinanderfolgenden fehlgeschlagenen Anmeldeversuche, nach denen ein Passwort nicht mehr zur Authentifizierung eines Nutzers im Verzeichnis verwendet werden kann. |
3 |
|
pwdMinLength |
Gibt die Mindestanzahl an Zeichen an, die beim Festlegen eines Passworts erforderlich sind. |
8 |
Nutzerkonto entsperren
Das Konto eines Nutzers kann aufgrund von Attributen, die in der Passwortrichtlinie festgelegt sind, gesperrt werden. Ein Nutzer mit der Apigee-Rolle „sysadmin“ kann den folgenden API-Aufruf verwenden, um das Konto des Nutzers zu entsperren. Ersetzen Sie die Werte in geschweiften Klammern durch tatsächliche Werte.
So entsperren Sie einen Nutzer:
/v1/users/{userEmail}/status?action=unlock -X POST -u {adminEmail}:{password}