ניהול מדיניות ברירת המחדל של סיסמת LDAP לניהול ממשק API

Edge for Private Cloud גרסה 4.19.01

מערכת Apigee משתמשת ב-OpenLDAP כדי לאמת משתמשים בסביבת ניהול ממשקי ה-API. הפונקציונליות הזו של מדיניות הסיסמאות ב-LDAP זמינה ב-OpenLDAP.

בקטע הזה מוסבר איך להגדיר את מדיניות ברירת המחדל של סיסמת LDAP. אפשר להשתמש במדיניות הסיסמאות הזו כדי להגדיר אפשרויות שונות לאימות סיסמאות, כמו מספר ניסיונות ההתחברות הכושלים ברצף שאחריהם אי אפשר יותר להשתמש בסיסמה כדי לאמת משתמש בספרייה.

בקטע הזה מוסבר גם איך להשתמש בכמה ממשקי API כדי לבטל את הנעילה של חשבונות משתמשים שננעלו בהתאם למאפיינים שהוגדרו במדיניות ברירת המחדל לסיסמאות.

למידע נוסף:

הגדרת מדיניות ברירת המחדל לסיסמאות ב-LDAP

כדי להגדיר את מדיניות ברירת המחדל לסיסמאות ב-LDAP:

  1. מתחברים לשרת ה-LDAP באמצעות לקוח LDAP, כמו Apache Studio או ldapmodify. כברירת מחדל, שרת OpenLDAP מאזין ליציאה 10389 בצומת OpenLDAP.

    כדי להתחבר, מציינים את ה-Bind DN או את המשתמש של cn=manager,dc=apigee,dc=com ואת סיסמת OpenLDAP שהגדרתם בזמן ההתקנה של Edge.

  2. משתמשים בלקוח כדי לנווט למאפיינים של מדיניות הסיסמאות עבור:
    • משתמשי Edge: ‏cn=default,ou=pwpolicies,dc=apigee,dc=com
    • מנהל המערכת של Edge: ‏ cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
  3. עורכים את ערכי המאפיינים של מדיניות הסיסמאות לפי הצורך.
  4. שומרים את ההגדרה.

מאפייני ברירת המחדל של מדיניות הסיסמאות ב-LDAP

מאפיין תיאור ברירת מחדל 
pwdExpireWarning
 מספר השניות המקסימלי לפני שתוקף הסיסמה יפוג, שבהן הודעות אזהרה על פקיעת התוקף יוחזרו למשתמש שמבצע אימות בספרייה.

604800

(שווה ערך ל-7 ימים)

 
pwdFailureCountInterval

מספר השניות שאחריהן ניסיונות קישור רצופים ישנים שנכשלו נמחקים ממונה הכישלונות.

במילים אחרות, זה מספר השניות שאחריו מתאפס מספר הניסיונות הרצופים להתחברות שנכשלו.

אם המדיניות pwdFailureCountInterval מוגדרת ל-0, רק אימות מוצלח יכול לאפס את המונה.

אם המדיניות pwdFailureCountInterval מוגדרת לערך שגדול מ-0, המאפיין מגדיר משך זמן שאחריו מספר הניסיונות הכושלים הרצופים להתחברות מתאפס באופן אוטומטי, גם אם לא בוצע אימות מוצלח.

מומלץ להגדיר את המאפיין הזה לאותו ערך כמו המאפיין pwdLockoutDuration.

 300 
pwdInHistory

המספר המקסימלי של סיסמאות משומשות או קודמות של משתמש שיישמרו במאפיין pwdHistory.

כשהמשתמשת משנה את הסיסמה שלה, היא לא יכולה לשנות אותה לאחת מהסיסמאות הקודמות שלה.

 3 
pwdLockout

אם הערך הוא TRUE, המדיניות מציינת שצריך לנעול את המשתמש כשהסיסמה שלו פגה, כדי שהוא לא יוכל להתחבר יותר.

 לא נכון 
pwdLockoutDuration

מספר השניות שבהן אי אפשר להשתמש בסיסמה כדי לאמת את המשתמש, בגלל יותר מדי ניסיונות התחברות רצופים שנכשלו.

במילים אחרות, זה משך הזמן שבו חשבון משתמש יישאר נעול בגלל חריגה ממספר ניסיונות ההתחברות הכושלים הרצופים שהוגדר במאפיין pwdMaxFailure.

אם הערך של pwdLockoutDuration הוא 0, חשבון המשתמש יישאר נעול עד שמנהל המערכת יבטל את הנעילה.

אפשר לקרוא את המאמר ביטול הנעילה של חשבון משתמש.

אם הערך של pwdLockoutDuration גדול מ-0, המאפיין מגדיר את משך הזמן שבו חשבון המשתמש יישאר נעול. כשהתקופה הזו תסתיים, חשבון המשתמש יבוטל באופן אוטומטי.

מומלץ להגדיר את המאפיין הזה לאותו ערך כמו המאפיין pwdFailureCountInterval.

 300 
pwdMaxAge

מספר השניות שאחריהן פג התוקף של סיסמת משתמש (שאינו sysadmin). אם הערך הוא 0, תוקף הסיסמאות לא יפוג. ערך ברירת המחדל 2592000 תואם ל-30 ימים מהזמן שבו הסיסמה נוצרה.

משתמש: 2592000

sysadmin: 0

 
pwdMaxFailure

מספר הניסיונות הרצופים שנכשלו להתחברות, שאחריהם לא ניתן להשתמש בסיסמה כדי לאמת משתמש בספרייה.

 3 
pwdMinLength

מגדירה את מספר התווים המינימלי שנדרש כשמגדירים סיסמה.

 8

ביטול הנעילה של חשבון משתמש

חשבון של משתמש יכול להינעל בגלל מאפיינים שמוגדרים במדיניות הסיסמאות. משתמש עם תפקיד sysadmin ב-Apigee יכול להשתמש בקריאה הבאה ל-API כדי לבטל את הנעילה של חשבון המשתמש. מחליפים את userEmail,‏ adminEmail ו-password בערכים בפועל.

כדי לבטל את הנעילה של משתמש:

/v1/users/userEmail/status?action=unlock -X POST -u adminEmail:password