Cómo administrar la política de contraseñas LDAP predeterminada para la administración de API

El sistema de Apigee usa OpenLDAP para autenticar a los usuarios en tu entorno de gestión de API. OpenLDAP hace que esta funcionalidad de la política de contraseñas de LDAP esté disponible.

En esta sección, se describe cómo configurar la política de contraseñas de LDAP predeterminada que se entrega. Usa esta política de contraseñas para configurar varias opciones de autenticación de contraseñas, como la cantidad de intentos de acceso fallidos consecutivos después de los cuales ya no se puede usar una contraseña para autenticar a un usuario en el directorio.

En esta sección, también se describe cómo usar un par de APIs para desbloquear cuentas de usuario que se bloquearon según los atributos configurados en la política de contraseñas predeterminada.

Para obtener información adicional, consulta:

Configura la política de contraseñas predeterminada de LDAP

En esta sección, se explica cómo configurar la política de contraseñas de LDAP predeterminada para lo siguiente:

Configura la política de contraseñas de LDAP predeterminada para los usuarios de Edge y el administrador del sistema original

Para configurar la política de contraseñas de LDAP predeterminada para los usuarios de Edge y el administrador del sistema original, haz lo siguiente:

  1. Conéctate a tu servidor LDAP con un cliente LDAP, como Apache Studio o ldapmodify. De forma predeterminada, el servidor de OpenLDAP escucha en el puerto 10389 en el nodo de OpenLDAP.

    Para conectarte, especifica el DN de vinculación o el usuario de cn=manager,dc=apigee,dc=com y la contraseña de OpenLDAP que configuraste en el momento de la instalación de Edge.

  2. Usa el cliente para navegar a los atributos de la política de contraseñas de:
  3. Edita los valores de los atributos de la política de contraseñas como desees.
  4. Guarde la configuración.

Configura la política de contraseñas de LDAP para administradores del sistema adicionales

Cuando agregas usuarios sysadmin a Edge, heredan la política de contraseñas predeterminada, en lugar de la política de contraseñas sysadmin del sysadmin original. La política de contraseñas predeterminada vence después de un período determinado, a menos que se configure de otra manera. Para establecer la política de contraseñas de los usuarios sysadmin adicionales de modo que no venza, sigue estos pasos:

  1. Busca el dn de todos los administradores del sistema con este comando: 
    ldapsearch -x -W -D "cn=manager,dc=apigee,dc=com" -H "ldap://:10389" -b "cn=sysadmin,ou=userroles,ou=global,dc=apigee,dc=com" -s base
 -LLL

    En el resultado, se muestran los usuarios sysadmin como roleOccupant:

    dn: cn=sysadmin,ou=userroles,ou=global,dc=apigee,dc=com
objectClass: organizationalRole
objectClass: top
cn: sysadmin
roleOccupant: uid=admin,ou=users,ou=global,dc=apigee,dc=com
roleOccupant: uid=2a0056b4-5c62-49de-8fb3-925ch67a3e45,ou=users,ou=global,dc=apigee,dc=com
  2. Crea un archivo nuevo llamado ppchange.ldif y agrégale lo siguiente (reemplaza el dn de tu propio usuario sysadmin): 
    dn: uid=new-sysadmin-uid,ou=users,ou=global,dc=apigee,dc=com
changetype: modify
add: pwdPolicySubentry
pwdPolicySubentry: cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
  3. Modifica el usuario ingresando el siguiente comando: 
    ldapmodify -x -w "$ldappassword" -D "cn=manager,dc=apigee,dc=com" -H ldap://localhost:10389 -f ppchange.ldif
  4. Verifica el cambio con el comando de búsqueda ldap: 
    ldapsearch -x -W -D "cn=manager,dc=apigee,dc=com" -H "ldap://:10389" -b "uid=new-sysadmin-uid,ou=users,ou=global,dc=apigee,dc=com" -s base -LLL pwdPolicySubentry

    En el resultado, se mostraría la adición de pwdPolicySubentry: 

    dn: uid=new-admin-uid,ou=users,ou=global,dc=apigee,dc=com
pwdPolicySubentry: cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
  5. Repite los pasos del 2 al 4 para cada administrador del sistema.

Atributos predeterminados de la política de contraseñas de LDAP

Atributo Descripción Predeterminado 
pwdExpireWarning
 Es la cantidad máxima de segundos antes de que venza una contraseña para que se devuelvan los mensajes de advertencia de vencimiento a un usuario que se autentica en el directorio.

604800

(Equivale a 7 días)

 
pwdFailureCountInterval

Es la cantidad de segundos después de los cuales se borran los intentos de vinculación fallidos consecutivos antiguos del contador de fallas.

En otras palabras, esta es la cantidad de segundos después de la cual se restablece el recuento de intentos de acceso fallidos consecutivos.

Si pwdFailureCountInterval se establece en 0, solo una autenticación correcta puede restablecer el contador.

Si pwdFailureCountInterval se establece en >0, el atributo define una duración después de la cual el recuento de intentos de acceso fallidos consecutivos se restablece automáticamente, incluso si no se produjo una autenticación correcta.

Te sugerimos que configures este atributo con el mismo valor que el atributo pwdLockoutDuration.

 300 
pwdInHistory

Es la cantidad máxima de contraseñas usadas o anteriores de un usuario que se almacenarán en el atributo pwdHistory.

Cuando cambie su contraseña, el usuario no podrá cambiarla por ninguna de sus contraseñas anteriores.

 3 
pwdLockout

Si es TRUE, especifica que se bloquee a un usuario cuando venza su contraseña para que ya no pueda acceder.

 Falso 
pwdLockoutDuration

Es la cantidad de segundos durante los cuales no se puede usar una contraseña para autenticar al usuario debido a demasiados intentos de acceso fallidos consecutivos.

En otras palabras, este es el período durante el cual una cuenta de usuario permanecerá bloqueada por superar la cantidad de intentos de acceso fallidos consecutivos que se establecen con el atributo pwdMaxFailure.

Si pwdLockoutDuration se establece en 0, la cuenta de usuario permanecerá bloqueada hasta que un administrador del sistema la desbloquee.

Consulta Cómo desbloquear una cuenta de usuario.

Si pwdLockoutDuration se establece en >0, el atributo define la duración durante la cual la cuenta del usuario permanecerá bloqueada. Cuando haya transcurrido este período, la cuenta de usuario se desbloqueará automáticamente.

Te sugerimos que configures este atributo con el mismo valor que el atributo pwdFailureCountInterval.

 300 
pwdMaxAge

Es la cantidad de segundos después de los cuales vence la contraseña de un usuario (que no es administrador del sistema). Un valor de 0 significa que las contraseñas no vencen. El valor predeterminado de 2592000 corresponde a 30 días a partir de la hora en que se creó la contraseña.

user: 2592000

sysadmin: 0

 
pwdMaxFailure

Es la cantidad de intentos de acceso fallidos consecutivos después de los cuales no se puede usar una contraseña para autenticar a un usuario en el directorio.

 3 
pwdMinLength

Especifica la cantidad mínima de caracteres que se requieren para establecer una contraseña.

 8

Desbloquea una cuenta de usuario

Es posible que la cuenta de un usuario se bloquee debido a los atributos establecidos en la política de contraseñas. Un usuario con el rol de administrador del sistema de Apigee asignado puede usar la siguiente llamada a la API para desbloquear la cuenta del usuario. Reemplaza userEmail, adminEmail y password por valores reales.

Para desbloquear un usuario, haz lo siguiente:

/v1/users/userEmail/status?action=unlock -X POST -u adminEmail:password