Edge for Private Cloud версии 4.17.09
Система Apigee использует OpenLDAP для аутентификации пользователей в среде управления API. OpenLDAP предоставляет эту функцию правил паролей LDAP.
В этом разделе описывается, как настроить стандартные правила LDAP для паролей. Используйте эти правила, чтобы настроить различные параметры аутентификации по паролю, например количество неудачных попыток входа, после которого пароль больше нельзя использовать для аутентификации пользователя в каталоге.
В этом разделе также описывается, как использовать несколько API для разблокировки аккаунтов пользователей, которые были заблокированы в соответствии с атрибутами, настроенными в правилах паролей по умолчанию.
Дополнительную информацию можно найти в следующих статьях:
Настройка правил для паролей LDAP по умолчанию
Чтобы настроить правила для паролей LDAP по умолчанию:
- Подключитесь к серверу LDAP с помощью клиента LDAP, например Apache Studio или ldapmodify. По умолчанию сервер OpenLDAP прослушивает порт 10389 на узле OpenLDAP.
Чтобы подключиться, укажите Bind DN или пользователя cn=manager,dc=apigee,dc=com и пароль OpenLDAP, который вы задали при установке Edge. - С помощью клиента перейдите к атрибутам правил паролей для:
- Пользователи Edge: cn=default,ou=pwpolicies,dc=apigee,dc=com
- Edge sysadmin: cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
- Измените значения атрибутов правил паролей.
- Сохраните конфигурацию.
Атрибуты правил по умолчанию для паролей LDAP
|
Атрибут |
Описание |
По умолчанию |
|---|---|---|
|
pwdExpireWarning |
Максимальное количество секунд до истечения срока действия пароля, в течение которых пользователю, выполняющему аутентификацию в каталоге, будут возвращаться предупреждения об истечении срока действия. |
604800 (эквивалентно 7 дням) |
|
pwdFailureCountInterval |
Количество секунд, по истечении которых старые последовательные неудачные попытки привязки удаляются из счетчика сбоев. Другими словами, это количество секунд, по истечении которых счетчик последовательных неудачных попыток входа сбрасывается. Если для атрибута pwdFailureCountInterval задано значение 0, счетчик может быть сброшен только после успешной аутентификации. Если для атрибута pwdFailureCountInterval задано значение больше 0, он определяет период, по истечении которого количество неудачных попыток входа автоматически сбрасывается, даже если успешной аутентификации не произошло. Рекомендуем задать для этого атрибута то же значение, что и для атрибута pwdLockoutDuration. |
300 |
|
pwdInHistory |
Максимальное количество использованных или прошлых паролей пользователя, которые будут храниться в атрибуте pwdHistory. При смене пароля пользователь не сможет использовать ни один из своих предыдущих паролей. |
3 |
|
pwdLockout |
Если задано значение TRUE, пользователь, у которого истек срок действия пароля, будет заблокирован и не сможет войти в систему. |
False |
|
pwdLockoutDuration |
Количество секунд, в течение которых пароль не может использоваться для аутентификации пользователя из-за слишком большого числа последовательных неудачных попыток входа. Другими словами, это период времени, в течение которого аккаунт пользователя будет заблокирован из-за превышения количества последовательных неудачных попыток входа, заданного атрибутом pwdMaxFailure. Если для атрибута pwdLockoutDuration задано значение 0, аккаунт пользователя будет заблокирован, пока системный администратор не разблокирует его. См. раздел «Разблокировка аккаунта пользователя» ниже. Если для атрибута pwdLockoutDuration задано значение больше нуля, он определяет, в течение какого времени аккаунт пользователя будет заблокирован. По истечении этого периода времени аккаунт пользователя будет автоматически разблокирован. Рекомендуем задать для этого атрибута то же значение, что и для атрибута pwdFailureCountInterval. |
300 |
|
pwdMaxAge |
Количество секунд, по истечении которых срок действия пароля пользователя (не системного администратора) истекает. Значение 0 означает, что срок действия паролей не истекает. Значение по умолчанию – 2592000 (30 дней с момента создания пароля). |
user: 2592000 sysadmin: 0 |
|
pwdMaxFailure |
Количество последовательных неудачных попыток входа, после которого пароль нельзя использовать для аутентификации пользователя в каталоге. |
3 |
|
pwdMinLength |
Указывает минимальное количество символов, которое должно быть в пароле. |
8 |
Как разблокировать аккаунт пользователя
Аккаунт пользователя может быть заблокирован из-за атрибутов, заданных в правилах в отношении паролей. Пользователь с ролью sysadmin в Apigee может разблокировать аккаунт с помощью вызова API, указанного ниже. Замените значения в фигурных скобках фактическими значениями.
Чтобы разблокировать пользователя:
/v1/users/{userEmail}/status?action=unlock -X POST -u {adminEmail}:{password}