Edge for Private Cloud เวอร์ชัน 4.17.09
ระบบ Apigee ใช้ OpenLDAP เพื่อตรวจสอบสิทธิ์ผู้ใช้ในสภาพแวดล้อมการจัดการ API OpenLDAP จะทำให้ฟังก์ชันการทำงานของนโยบายรหัสผ่าน LDAP นี้พร้อมใช้งาน
ส่วนนี้จะอธิบายวิธีกำหนดค่านโยบายรหัสผ่าน LDAP เริ่มต้นที่ส่งมา ใช้นโยบายรหัสผ่านนี้เพื่อกำหนดค่าตัวเลือกการตรวจสอบสิทธิ์ด้วยรหัสผ่านต่างๆ เช่น จำนวนครั้งที่พยายามเข้าสู่ระบบไม่สำเร็จติดต่อกัน หลังจากนั้นจะใช้รหัสผ่านเพื่อตรวจสอบสิทธิ์ผู้ใช้ในไดเรกทอรีไม่ได้อีกต่อไป
ส่วนนี้ยังอธิบายวิธีใช้ API 2 รายการเพื่อปลดล็อกบัญชีผู้ใช้ที่ถูกล็อกตามแอตทริบิวต์ที่กำหนดค่าไว้ในนโยบายรหัสผ่านเริ่มต้นด้วย
ดูข้อมูลเพิ่มเติมได้ที่หัวข้อต่อไปนี้
การกำหนดค่านโยบายรหัสผ่าน LDAP เริ่มต้น
วิธีกำหนดค่านโยบายรหัสผ่าน LDAP เริ่มต้น
- เชื่อมต่อกับเซิร์ฟเวอร์ LDAP โดยใช้ไคลเอ็นต์ LDAP เช่น Apache Studio หรือ ldapmodify โดยค่าเริ่มต้น เซิร์ฟเวอร์ OpenLDAP จะคอยตรวจหาพอร์ต 10389 ในโหนด OpenLDAP
หากต้องการเชื่อมต่อ ให้ระบุ Bind DN หรือผู้ใช้ cn=manager,dc=apigee,dc=com และรหัสผ่าน OpenLDAP ที่คุณตั้งไว้ตอนติดตั้ง Edge - ใช้ไคลเอ็นต์เพื่อไปยังแอตทริบิวต์นโยบายรหัสผ่านสำหรับ
- ผู้ใช้ Edge: cn=default,ou=pwpolicies,dc=apigee,dc=com
- ผู้ดูแลระบบ Edge: cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
- แก้ไขค่าแอตทริบิวต์นโยบายรหัสผ่านตามต้องการ
- บันทึกการกำหนดค่า
แอตทริบิวต์นโยบายรหัสผ่าน LDAP เริ่มต้น
|
แอตทริบิวต์ |
คำอธิบาย |
ค่าเริ่มต้น |
|---|---|---|
|
pwdExpireWarning |
จำนวนวินาทีสูงสุดก่อนที่รหัสผ่านจะหมดอายุ ซึ่งข้อความเตือนการหมดอายุจะแสดงต่อผู้ใช้ที่กำลังตรวจสอบสิทธิ์ในไดเรกทอรี |
604800 (เทียบเท่ากับ 7 วัน) |
|
pwdFailureCountInterval |
จำนวนวินาทีที่ระบบจะล้างข้อมูลการพยายามเชื่อมโยงที่ล้มเหลวติดต่อกันครั้งเก่าออกจากตัวนับความล้มเหลว กล่าวคือ จำนวนวินาทีที่ระบบจะรีเซ็ตจำนวนครั้งที่พยายามเข้าสู่ระบบไม่สำเร็จติดต่อกัน หากตั้งค่า pwdFailureCountInterval เป็น 0 จะมีเพียงการตรวจสอบสิทธิ์ที่สำเร็จเท่านั้นที่รีเซ็ตตัวนับได้ หากตั้งค่า pwdFailureCountInterval เป็น >0 แอตทริบิวต์จะกำหนดระยะเวลาที่ระบบจะรีเซ็ตจำนวนครั้งที่พยายามเข้าสู่ระบบไม่สำเร็จติดต่อกันโดยอัตโนมัติ แม้ว่าจะไม่มีการตรวจสอบสิทธิ์ที่สำเร็จก็ตาม เราขอแนะนำให้ตั้งค่าแอตทริบิวต์นี้เป็นค่าเดียวกับแอตทริบิวต์ pwdLockoutDuration |
300 |
|
pwdInHistory |
จำนวนรหัสผ่านที่ใช้แล้วหรือรหัสผ่านเดิมสูงสุดสำหรับผู้ใช้ที่จะจัดเก็บไว้ในแอตทริบิวต์ pwdHistory เมื่อเปลี่ยนรหัสผ่าน ระบบจะบล็อกไม่ให้ผู้ใช้เปลี่ยนรหัสผ่านเป็นรหัสผ่านที่เคยใช้ในอดีต |
3 |
|
pwdLockout |
หากเป็น TRUE จะเป็นการระบุให้ล็อกผู้ใช้เมื่อรหัสผ่านหมดอายุ เพื่อไม่ให้ผู้ใช้เข้าสู่ระบบได้อีกต่อไป |
เท็จ |
|
pwdLockoutDuration |
จำนวนวินาทีที่ไม่สามารถใช้รหัสผ่านเพื่อตรวจสอบสิทธิ์ผู้ใช้ได้เนื่องจากพยายามเข้าสู่ระบบไม่สำเร็จติดต่อกันหลายครั้งเกินไป กล่าวคือ ระยะเวลาที่บัญชีผู้ใช้จะยังคงถูกล็อกเนื่องจากพยายามเข้าสู่ระบบไม่สำเร็จติดต่อกันเกินจำนวนครั้งที่กำหนดโดยแอตทริบิวต์ pwdMaxFailure หากตั้งค่า pwdLockoutDuration เป็น 0 บัญชีผู้ใช้จะยังคงล็อกอยู่จนกว่าผู้ดูแลระบบจะปลดล็อก ดูหัวข้อ "การปลดล็อกบัญชีผู้ใช้" ด้านล่าง หากตั้งค่า pwdLockoutDuration เป็น >0 แอตทริบิวต์จะกำหนดระยะเวลาที่บัญชีผู้ใช้จะยังคงล็อกอยู่ เมื่อระยะเวลานี้ผ่านไป ระบบจะปลดล็อกบัญชีผู้ใช้โดยอัตโนมัติ เราขอแนะนำให้ตั้งค่าแอตทริบิวต์นี้เป็นค่าเดียวกับแอตทริบิวต์ pwdFailureCountInterval |
300 |
|
pwdMaxAge |
จำนวนวินาทีหลังจากที่รหัสผ่านของผู้ใช้ (ที่ไม่ใช่ผู้ดูแลระบบ) หมดอายุ ค่า 0 หมายความว่ารหัสผ่านไม่มีวันหมดอายุ ค่าเริ่มต้น 2592000 จะสอดคล้องกับ 30 วันนับจากเวลาที่สร้างรหัสผ่าน |
ผู้ใช้: 2592000 sysadmin: 0 |
|
pwdMaxFailure |
จำนวนครั้งที่พยายามเข้าสู่ระบบไม่สำเร็จติดต่อกัน ซึ่งหลังจากนั้นจะใช้รหัสผ่านเพื่อตรวจสอบสิทธิ์ผู้ใช้ในไดเรกทอรีไม่ได้ |
3 |
|
pwdMinLength |
ระบุจำนวนอักขระขั้นต่ำที่ต้องใช้เมื่อตั้งรหัสผ่าน |
8 |
การปลดล็อกบัญชีผู้ใช้
บัญชีของผู้ใช้อาจถูกล็อกเนื่องจากแอตทริบิวต์ที่ตั้งค่าไว้ในนโยบายรหัสผ่าน ผู้ใช้ที่ได้รับมอบหมายบทบาท sysadmin Apigee จะใช้การเรียก API ต่อไปนี้เพื่อปลดล็อกบัญชีของผู้ใช้ได้ แทนที่ค่าในวงเล็บปีกกาด้วยค่าจริง
วิธีปลดล็อกผู้ใช้
/v1/users/{userEmail}/status?action=unlock -X POST -u {adminEmail}:{password}