Edge dla chmury prywatnej w wersji 4.17.09
System Apigee używa OpenLDAP do uwierzytelniania użytkowników w środowisku zarządzania interfejsami API. OpenLDAP udostępnia tę funkcję zasad haseł LDAP.
W tej sekcji opisano, jak skonfigurować domyślne zasady haseł LDAP. Użyj tych zasad dotyczących haseł, aby skonfigurować różne opcje uwierzytelniania hasłem, takie jak liczba kolejnych nieudanych prób logowania, po których hasło nie może już być używane do uwierzytelniania użytkownika w katalogu.
W tej sekcji opisano też, jak używać kilku interfejsów API do odblokowywania kont użytkowników, które zostały zablokowane zgodnie z atrybutami skonfigurowanymi w domyślnych zasadach haseł.
Więcej informacji:
Konfigurowanie domyślnych zasad haseł LDAP
Aby skonfigurować domyślne zasady haseł LDAP:
- Połącz się z serwerem LDAP za pomocą klienta LDAP, takiego jak Apache Studio lub ldapmodify. Domyślnie serwer OpenLDAP nasłuchuje na porcie 10389 w węźle OpenLDAP.
Aby się połączyć, podaj powiązaną nazwę wyróżniającą lub użytkownika cn=manager,dc=apigee,dc=com oraz hasło OpenLDAP ustawione podczas instalacji Edge. - Użyj klienta, aby przejść do atrybutów zasad dotyczących haseł dla:
- Użytkownicy Edge: cn=default,ou=pwpolicies,dc=apigee,dc=com
- Sysadmin Edge: cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
- Zmień wartości atrybutów zasad dotyczących haseł zgodnie z potrzebami.
- Zapisz konfigurację.
Domyślne atrybuty zasad haseł LDAP
|
Atrybut |
Opis |
Domyślna |
|---|---|---|
|
pwdExpireWarning |
Maksymalna liczba sekund przed wygaśnięciem hasła, po której użytkownik uwierzytelniający się w katalogu otrzyma ostrzeżenie o wygaśnięciu. |
604800 (odpowiednik 7 dni). |
|
pwdFailureCountInterval |
Liczba sekund, po których stare kolejne nieudane próby powiązania są usuwane z licznika niepowodzeń. Innymi słowy, jest to liczba sekund, po których liczba kolejnych nieudanych prób logowania jest resetowana. Jeśli parametr pwdFailureCountInterval jest ustawiony na 0, licznik może zostać zresetowany tylko przez udane uwierzytelnienie. Jeśli atrybut pwdFailureCountInterval ma wartość >0, określa on czas, po którym liczba kolejnych nieudanych prób logowania jest automatycznie resetowana, nawet jeśli nie nastąpiło udane uwierzytelnienie. Zalecamy ustawienie tego atrybutu na tę samą wartość co atrybut pwdLockoutDuration. |
300 |
|
pwdInHistory |
Maksymalna liczba używanych lub poprzednich haseł użytkownika, które będą przechowywane w atrybucie pwdHistory. Podczas zmiany hasła użytkownik nie będzie mógł zmienić go na żadne z poprzednich haseł. |
3 |
|
pwdLockout |
Jeśli ma wartość PRAWDA, określa, że użytkownik ma zostać zablokowany, gdy jego hasło wygaśnie, aby nie mógł się już zalogować. |
Fałsz |
|
pwdLockoutDuration |
Liczba sekund, przez które nie można użyć hasła do uwierzytelnienia użytkownika z powodu zbyt wielu kolejnych nieudanych prób logowania. Innymi słowy, jest to czas, przez który konto użytkownika pozostanie zablokowane po przekroczeniu liczby kolejnych nieudanych prób logowania określonej przez atrybut pwdMaxFailure. Jeśli parametr pwdLockoutDuration ma wartość 0, konto użytkownika pozostanie zablokowane, dopóki administrator systemu go nie odblokuje. Zapoznaj się z sekcją „Odblokowywanie konta użytkownika” poniżej. Jeśli atrybut pwdLockoutDuration jest ustawiony na wartość większą niż 0, określa on czas, przez który konto użytkownika pozostanie zablokowane. Po upływie tego czasu konto użytkownika zostanie automatycznie odblokowane. Zalecamy ustawienie tego atrybutu na tę samą wartość co atrybut pwdFailureCountInterval. |
300 |
|
pwdMaxAge |
Liczba sekund, po których wygasa hasło użytkownika (niebędącego administratorem systemu). Wartość 0 oznacza, że hasła nie wygasają. Wartość domyślna 2592000 odpowiada 30 dniom od momentu utworzenia hasła. |
user: 2592000 sysadmin: 0 |
|
pwdMaxFailure |
Liczba kolejnych nieudanych prób logowania, po których nie można użyć hasła do uwierzytelnienia użytkownika w katalogu. |
3 |
|
pwdMinLength |
Określa minimalną liczbę znaków wymaganą podczas ustawiania hasła. |
8 |
Odblokowywanie konta użytkownika
Konto użytkownika może zostać zablokowane z powodu atrybutów ustawionych w zasadach dotyczących haseł. Użytkownik z przypisaną rolą sysadmin Apigee może odblokować konto użytkownika za pomocą tego wywołania interfejsu API. Zastąp wartości w nawiasach klamrowych rzeczywistymi wartościami.
Aby odblokować użytkownika:
/v1/users/{userEmail}/status?action=unlock -X POST -u {adminEmail}:{password}