Gestione del criterio della password LDAP predefinita per la gestione delle API

Edge for Private Cloud v4.19.01

Il sistema Apigee utilizza OpenLDAP per autenticare gli utenti nel tuo ambiente di gestione delle API. OpenLDAP rende disponibile questa funzionalità del criterio password LDAP.

Questa sezione descrive come configurare la policy per le password LDAP predefinita fornita. Utilizza questa policy relativa alle password per configurare varie opzioni di autenticazione delle password, ad esempio il numero di tentativi di accesso non riusciti consecutivi dopo i quali una password non può più essere utilizzata per autenticare un utente nella directory.

Questa sezione descrive anche come utilizzare un paio di API per sbloccare gli account utente che sono stati bloccati in base agli attributi configurati nella policy per le password predefinita.

Per ulteriori informazioni, consulta:

Configurazione della policy per le password LDAP predefinita

Per configurare la policy per le password LDAP predefinita:

  1. Connettiti al server LDAP utilizzando un client LDAP, ad esempio Apache Studio o ldapmodify. Per impostazione predefinita, il server OpenLDAP rimane in ascolto sulla porta 10389 del nodo OpenLDAP.

    Per connetterti, specifica il DN di associazione o l'utente di cn=manager,dc=apigee,dc=com e la password OpenLDAP che hai impostato al momento dell'installazione di Edge.

  2. Utilizza il client per accedere agli attributi della policy password per:
    • Utenti Edge: cn=default,ou=pwpolicies,dc=apigee,dc=com
    • Sysadmin Edge: cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
  3. Modifica i valori degli attributi della policy password come preferisci.
  4. Salva la configurazione.

Attributi predefiniti della policy relativa alle password LDAP

Attributo Descrizione Predefinito 
pwdExpireWarning
 Il numero massimo di secondi prima della scadenza di una password in cui i messaggi di avviso di scadenza verranno restituiti a un utente che esegue l'autenticazione nella directory.

604800

(Equivalente a 7 giorni)

 
pwdFailureCountInterval

Numero di secondi dopo i quali i vecchi tentativi di associazione non riusciti consecutivi vengono eliminati dal contatore degli errori.

In altre parole, questo è il numero di secondi dopo i quali il conteggio dei tentativi di accesso non riusciti consecutivi viene reimpostato.

Se pwdFailureCountInterval è impostato su 0, solo un'autenticazione riuscita può reimpostare il contatore.

Se pwdFailureCountInterval è impostato su >0, l'attributo definisce una durata dopo la quale il conteggio dei tentativi di accesso non riusciti consecutivi viene reimpostato automaticamente, anche se non è stata eseguita alcuna autenticazione riuscita.

Ti consigliamo di impostare questo attributo sullo stesso valore dell'attributo pwdLockoutDuration.

 300 
pwdInHistory

Numero massimo di password utilizzate o precedenti di un utente che verranno archiviate nell'attributo pwdHistory.

Quando l'utente modifica la password, non potrà utilizzare una delle sue password precedenti.

 3 
pwdLockout

Se TRUE, specifica di bloccare un utente alla scadenza della password, in modo che non possa più accedere.

 Falso 
pwdLockoutDuration

Numero di secondi durante i quali non è possibile utilizzare una password per autenticare l'utente a causa di troppi tentativi di accesso non riusciti consecutivi.

In altre parole, questo è il periodo di tempo durante il quale un account utente rimarrà bloccato a causa del superamento del numero di tentativi di accesso non riusciti consecutivi impostati dall'attributo pwdMaxFailure.

Se pwdLockoutDuration è impostato su 0, l'account utente rimarrà bloccato finché un amministratore di sistema non lo sbloccherà.

Vedi Sblocca un account utente.

Se pwdLockoutDuration è impostato su >0, l'attributo definisce la durata per la quale l'account utente rimarrà bloccato. Trascorso questo periodo di tempo, l'account utente verrà sbloccato automaticamente.

Ti consigliamo di impostare questo attributo sullo stesso valore dell'attributo pwdFailureCountInterval.

 300 
pwdMaxAge

Numero di secondi dopo i quali scade la password di un utente (non sysadmin). Un valore pari a 0 indica che le password non scadono. Il valore predefinito 2592000 corrisponde a 30 giorni dalla data di creazione della password.

user: 2592000

sysadmin: 0

 
pwdMaxFailure

Numero di tentativi di accesso non riusciti consecutivi dopo i quali una password non può essere utilizzata per autenticare un utente nella directory.

 3 
pwdMinLength

Specifica il numero minimo di caratteri richiesti per l'impostazione di una password.

 8

Sblocco di un account utente

L'account di un utente potrebbe essere bloccato a causa degli attributi impostati nella policy relativa alle password. Un utente con il ruolo Apigee sysadmin assegnato può utilizzare la seguente chiamata API per sbloccare l'account dell'utente. Sostituisci userEmail, adminEmail e password con i valori effettivi.

Per sbloccare un utente:

/v1/users/userEmail/status?action=unlock -X POST -u adminEmail:password