การจัดการนโยบายรหัสผ่าน LDAP เริ่มต้นสําหรับการจัดการ API

Edge for Private Cloud v4.19.01

ระบบ Apigee ใช้ OpenLDAP เพื่อตรวจสอบสิทธิ์ผู้ใช้ในสภาพแวดล้อมการจัดการ API OpenLDAP จะทำให้ฟังก์ชันการทำงานของนโยบายรหัสผ่าน LDAP นี้พร้อมใช้งาน

ส่วนนี้จะอธิบายวิธีกำหนดค่านโยบายรหัสผ่าน LDAP เริ่มต้นที่ส่งมา ใช้นโยบายรหัสผ่านนี้เพื่อกำหนดค่าตัวเลือกการตรวจสอบสิทธิ์ด้วยรหัสผ่านต่างๆ เช่น จำนวนครั้งที่พยายามเข้าสู่ระบบไม่สำเร็จติดต่อกัน หลังจากนั้นจะใช้รหัสผ่านเพื่อตรวจสอบสิทธิ์ผู้ใช้ในไดเรกทอรีไม่ได้อีกต่อไป

ส่วนนี้ยังอธิบายวิธีใช้ API 2 รายการเพื่อปลดล็อกบัญชีผู้ใช้ที่ถูกล็อกตามแอตทริบิวต์ที่กำหนดค่าไว้ในนโยบายรหัสผ่านเริ่มต้นด้วย

ดูข้อมูลเพิ่มเติมได้ที่หัวข้อต่อไปนี้

การกำหนดค่านโยบายรหัสผ่าน LDAP เริ่มต้น

วิธีกำหนดค่านโยบายรหัสผ่าน LDAP เริ่มต้น

  1. เชื่อมต่อกับเซิร์ฟเวอร์ LDAP โดยใช้ไคลเอ็นต์ LDAP เช่น Apache Studio หรือ ldapmodify โดยค่าเริ่มต้น เซิร์ฟเวอร์ OpenLDAP จะคอยตรวจหาพอร์ต 10389 ในโหนด OpenLDAP

    หากต้องการเชื่อมต่อ ให้ระบุ Bind DN หรือผู้ใช้ของ cn=manager,dc=apigee,dc=com และรหัสผ่าน OpenLDAP ที่คุณตั้งไว้ตอนติดตั้ง Edge

  2. ใช้ไคลเอ็นต์เพื่อไปยังแอตทริบิวต์นโยบายรหัสผ่านสำหรับรายการต่อไปนี้
    • ผู้ใช้ Edge: cn=default,ou=pwpolicies,dc=apigee,dc=com
    • ผู้ดูแลระบบ Edge: cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
  3. แก้ไขค่าแอตทริบิวต์นโยบายรหัสผ่านตามต้องการ
  4. บันทึกการกำหนดค่า

แอตทริบิวต์นโยบายรหัสผ่าน LDAP เริ่มต้น

แอตทริบิวต์ คำอธิบาย ค่าเริ่มต้น 
pwdExpireWarning
 จำนวนวินาทีสูงสุดก่อนที่รหัสผ่านจะหมดอายุ ซึ่งข้อความเตือนการหมดอายุจะแสดงต่อผู้ใช้ที่กำลังตรวจสอบสิทธิ์ในไดเรกทอรี

604800

(เทียบเท่ากับ 7 วัน)

 
pwdFailureCountInterval

จำนวนวินาทีที่ระบบจะล้างข้อมูลการพยายามเชื่อมโยงที่ล้มเหลวติดต่อกันครั้งเก่าออกจากตัวนับความล้มเหลว

กล่าวคือ จำนวนวินาทีที่ระบบจะรีเซ็ตจำนวนครั้งที่พยายามเข้าสู่ระบบไม่สำเร็จติดต่อกัน

หากตั้งค่า pwdFailureCountInterval เป็น 0 จะมีเพียงการตรวจสอบสิทธิ์ที่สำเร็จเท่านั้นที่รีเซ็ตตัวนับได้

หากตั้งค่า pwdFailureCountInterval เป็น >0 แอตทริบิวต์จะกำหนดระยะเวลาที่ระบบจะรีเซ็ตจำนวนครั้งที่พยายามเข้าสู่ระบบไม่สำเร็จติดต่อกันโดยอัตโนมัติ แม้ว่าจะไม่มีการตรวจสอบสิทธิ์ที่สำเร็จก็ตาม

เราขอแนะนำให้ตั้งค่าแอตทริบิวต์นี้เป็นค่าเดียวกับแอตทริบิวต์ pwdLockoutDuration

 300 
pwdInHistory

จำนวนสูงสุดของรหัสผ่านที่ใช้แล้วหรือรหัสผ่านเดิมของผู้ใช้ที่จะจัดเก็บไว้ในแอตทริบิวต์ pwdHistory

เมื่อเปลี่ยนรหัสผ่าน ระบบจะบล็อกไม่ให้ผู้ใช้เปลี่ยนรหัสผ่านเป็นรหัสผ่านที่เคยใช้ในอดีต

 3 
pwdLockout

หากเป็น TRUE จะระบุให้ล็อกผู้ใช้เมื่อรหัสผ่านหมดอายุ เพื่อไม่ให้ผู้ใช้เข้าสู่ระบบได้อีก

 เท็จ 
pwdLockoutDuration

จำนวนวินาทีที่ไม่สามารถใช้รหัสผ่านเพื่อตรวจสอบสิทธิ์ผู้ใช้ได้เนื่องจากพยายามเข้าสู่ระบบไม่สำเร็จติดต่อกันหลายครั้งเกินไป

กล่าวคือ ระยะเวลาที่บัญชีผู้ใช้จะยังคงถูกล็อกเนื่องจากพยายามเข้าสู่ระบบไม่สำเร็จติดต่อกันเกินจำนวนครั้งที่กำหนดโดยแอตทริบิวต์ pwdMaxFailure

หากตั้งค่า pwdLockoutDuration เป็น 0 บัญชีผู้ใช้จะยังคงล็อกอยู่จนกว่าผู้ดูแลระบบจะปลดล็อก

โปรดดูหัวข้อการปลดล็อกบัญชีผู้ใช้

หากตั้งค่า pwdLockoutDuration เป็น >0 แอตทริบิวต์จะกำหนดระยะเวลาที่บัญชีผู้ใช้จะยังคงล็อกอยู่ เมื่อระยะเวลานี้ผ่านไป ระบบจะปลดล็อกบัญชีผู้ใช้โดยอัตโนมัติ

เราขอแนะนำให้ตั้งค่าแอตทริบิวต์นี้เป็นค่าเดียวกับแอตทริบิวต์ pwdFailureCountInterval

 300 
pwdMaxAge

จำนวนวินาทีหลังจากที่รหัสผ่านของผู้ใช้ (ที่ไม่ใช่ผู้ดูแลระบบ) หมดอายุ ค่า 0 หมายความว่ารหัสผ่านไม่มีวันหมดอายุ ค่าเริ่มต้น 2592000 จะสอดคล้องกับ 30 วันนับจากเวลาที่สร้างรหัสผ่าน

ผู้ใช้: 2592000

sysadmin: 0

 
pwdMaxFailure

จำนวนครั้งที่พยายามเข้าสู่ระบบไม่สำเร็จติดต่อกัน ซึ่งหลังจากนั้นจะใช้รหัสผ่านเพื่อตรวจสอบสิทธิ์ผู้ใช้ในไดเรกทอรีไม่ได้

 3 
pwdMinLength

ระบุจำนวนอักขระขั้นต่ำที่ต้องใช้เมื่อตั้งรหัสผ่าน

 8

การปลดล็อกบัญชีผู้ใช้

บัญชีของผู้ใช้อาจถูกล็อกเนื่องจากแอตทริบิวต์ที่ตั้งค่าไว้ในนโยบายรหัสผ่าน ผู้ใช้ที่ได้รับมอบหมายบทบาท sysadmin Apigee สามารถใช้การเรียก API ต่อไปนี้เพื่อปลดล็อกบัญชีของผู้ใช้ได้ แทนที่ userEmail, adminEmail และ password ด้วยค่าจริง

วิธีปลดล็อกผู้ใช้

/v1/users/userEmail/status?action=unlock -X POST -u adminEmail:password