Gestion de la règle de mot de passe LDAP par défaut pour la gestion des API

Edge for Private Cloud v4.19.01

Le système Apigee utilise OpenLDAP pour authentifier les utilisateurs dans votre environnement de gestion d'API. OpenLDAP propose cette fonctionnalité de règle de mot de passe LDAP.

Cette section explique comment configurer la règle de mot de passe LDAP par défaut. Utilisez cette règle pour configurer différentes options d'authentification par mot de passe, telles que le nombre de tentatives de connexion infructueuses consécutives après lequel un mot de passe ne peut plus être utilisé pour authentifier un utilisateur dans l'annuaire.

Cette section explique également comment utiliser quelques API pour déverrouiller les comptes utilisateur qui ont été verrouillés conformément aux attributs configurés dans la règle de mot de passe par défaut.

Pour en savoir plus, consultez les pages suivantes :

Configurer la règle de mot de passe LDAP par défaut

Pour configurer la règle de mot de passe LDAP par défaut :

  1. Connectez-vous à votre serveur LDAP à l'aide d'un client LDAP, tel qu'Apache Studio ou ldapmodify. Par défaut, le serveur OpenLDAP écoute sur le port 10389 du nœud OpenLDAP.

    Pour vous connecter, spécifiez le nom distinctif de liaison ou l'utilisateur de cn=manager,dc=apigee,dc=com, ainsi que le mot de passe OpenLDAP que vous avez défini lors de l'installation d'Edge.

  2. Utilisez le client pour accéder aux attributs de la règle de mot de passe pour :
    • Utilisateurs d'Edge : cn=default,ou=pwpolicies,dc=apigee,dc=com
    • Administrateur système Edge : cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
  3. Modifiez les valeurs des attributs de la règle de mot de passe comme vous le souhaitez.
  4. Enregistrez la configuration.

Attributs de la règle de mot de passe LDAP par défaut

Attribut Description Par défaut 
pwdExpireWarning
 Nombre maximal de secondes avant l'expiration d'un mot de passe pendant lesquelles des messages d'avertissement d'expiration sont renvoyés à un utilisateur qui s'authentifie auprès de l'annuaire.

604800

(équivalent à 7 jours)

 
pwdFailureCountInterval

Nombre de secondes après lequel les anciennes tentatives de liaison consécutives ayant échoué sont purgées du compteur d'échecs.

En d'autres termes, il s'agit du nombre de secondes après lequel le nombre de tentatives de connexion infructueuses consécutives est réinitialisé.

Si pwdFailureCountInterval est défini sur 0, seule une authentification réussie peut réinitialiser le compteur.

Si pwdFailureCountInterval est défini sur une valeur supérieure à 0, l'attribut définit une durée après laquelle le nombre de tentatives de connexion infructueuses consécutives est automatiquement réinitialisé, même si aucune authentification n'a réussi.

Nous vous suggérons de définir cet attribut sur la même valeur que l'attribut pwdLockoutDuration.

 300 
pwdInHistory

Nombre maximal de mots de passe utilisés ou anciens pour un utilisateur qui seront stockés dans l'attribut pwdHistory.

Lorsqu'elle modifie son mot de passe, l'utilisatrice ne peut pas réutiliser l'un de ses anciens mots de passe.

 3 
pwdLockout

Si la valeur est TRUE, spécifie de verrouiller un utilisateur lorsque son mot de passe expire afin qu'il ne puisse plus se connecter.

 Faux 
pwdLockoutDuration

Nombre de secondes pendant lesquelles un mot de passe ne peut pas être utilisé pour authentifier l'utilisateur en raison d'un trop grand nombre de tentatives de connexion infructueuses consécutives.

En d'autres termes, il s'agit de la durée pendant laquelle un compte utilisateur reste verrouillé après avoir dépassé le nombre de tentatives de connexion infructueuses consécutives défini par l'attribut pwdMaxFailure.

Si pwdLockoutDuration est défini sur 0, le compte utilisateur reste verrouillé jusqu'à ce qu'un administrateur système le déverrouille.

Consultez Déverrouiller un compte utilisateur.

Si pwdLockoutDuration est défini sur une valeur supérieure à 0, l'attribut définit la durée pendant laquelle le compte utilisateur restera verrouillé. Une fois ce délai écoulé, le compte utilisateur sera automatiquement déverrouillé.

Nous vous suggérons de définir cet attribut sur la même valeur que l'attribut pwdFailureCountInterval.

 300 
pwdMaxAge

Nombre de secondes après lequel un mot de passe utilisateur (non-sysadmin) expire. Une valeur de 0 signifie que les mots de passe n'expirent pas. La valeur par défaut de 2592000 correspond à 30 jours à compter de la date de création du mot de passe.

user: 2592000

sysadmin: 0

 
pwdMaxFailure

Nombre de tentatives de connexion infructueuses consécutives après lesquelles un mot de passe ne peut plus être utilisé pour authentifier un utilisateur dans l'annuaire.

 3 
pwdMinLength

Indique le nombre minimal de caractères requis lors de la définition d'un mot de passe.

 8

Déverrouiller un compte utilisateur

Le compte d'un utilisateur peut être verrouillé en raison d'attributs définis dans la règle de mot de passe. Un utilisateur auquel le rôle Apigee sysadmin est attribué peut utiliser l'appel d'API suivant pour déverrouiller le compte de l'utilisateur. Remplacez userEmail, adminEmail et password par des valeurs réelles.

Pour déverrouiller un utilisateur :

/v1/users/userEmail/status?action=unlock -X POST -u adminEmail:password