System Apigee używa OpenLDAP do uwierzytelniania użytkowników w środowisku zarządzania interfejsami API. OpenLDAP udostępnia tę funkcję zasad haseł LDAP.
W tej sekcji opisano, jak skonfigurować domyślne zasady haseł LDAP. Użyj tych zasad dotyczących haseł, aby skonfigurować różne opcje uwierzytelniania hasłem, takie jak liczba kolejnych nieudanych prób logowania, po których hasło nie może już być używane do uwierzytelniania użytkownika w katalogu.
W tej sekcji opisano też, jak używać kilku interfejsów API do odblokowywania kont użytkowników, które zostały zablokowane zgodnie z atrybutami skonfigurowanymi w domyślnych zasadach haseł.
Więcej informacji:
Konfigurowanie domyślnych zasad dotyczących haseł LDAP
W tej sekcji opisujemy, jak skonfigurować domyślne zasady haseł LDAP dla:
Konfigurowanie domyślnych zasad dotyczących haseł LDAP dla użytkowników Edge i pierwotnego administratora systemu
Aby skonfigurować domyślne zasady haseł LDAP dla użytkowników Edge i pierwotnego administratora systemu:
- Połącz się z serwerem LDAP za pomocą klienta LDAP, takiego jak Apache Studio lub ldapmodify. Domyślnie serwer OpenLDAP nasłuchuje na porcie 10389 w węźle OpenLDAP.
Aby się połączyć, podaj powiązaną nazwę wyróżniającą lub użytkownika
cn=manager,dc=apigee,dc=comoraz hasło OpenLDAP ustawione podczas instalacji Edge. - Użyj klienta, aby przejść do atrybutów zasad dotyczących haseł dla:
- Użytkownicy Edge:
cn=default,ou=pwpolicies,dc=apigee,dc=com - Pierwotny sysadmin Edge:
cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
Uwaga: aby skonfigurować zasady haseł LDAP dla dodatkowych sysadminów (innych niż pierwotny sysadmin), zapoznaj się z sekcją Konfigurowanie zasad haseł LDAP dla dodatkowych sysadminów poniżej.
- Użytkownicy Edge:
- Zmień wartości atrybutów zasad dotyczących haseł zgodnie z potrzebami.
- Zapisz konfigurację.
Konfigurowanie zasad haseł LDAP dla dodatkowych administratorów systemu
Gdy dodajesz użytkowników sysadmin do Edge, dziedziczą oni domyślne zasady haseł, a nie zasady haseł sysadmin pierwotnego administratora systemu. Domyślna zasada dotycząca haseł wygasa po określonym czasie, chyba że zostanie skonfigurowana inaczej. Aby ustawić zasady dotyczące haseł dodatkowych użytkowników sysadmin, tak aby nie wygasały, wykonaj te czynności:
- Znajdź wszystkich administratorów systemu
dn, uruchamiając to polecenie:ldapsearch -x -W -D "cn=manager,dc=apigee,dc=com" -H "ldap://:10389" -b "cn=sysadmin,ou=userroles,ou=global,dc=apigee,dc=com" -s base -LLL
Dane wyjściowe pokazują użytkowników z rolą sysadmin jako
roleOccupant:dn: cn=sysadmin,ou=userroles,ou=global,dc=apigee,dc=com objectClass: organizationalRole objectClass: top cn: sysadmin roleOccupant: uid=admin,ou=users,ou=global,dc=apigee,dc=com roleOccupant: uid=2a0056b4-5c62-49de-8fb3-925ch67a3e45,ou=users,ou=global,dc=apigee,dc=com
- Utwórz nowy plik o nazwie
ppchange.ldifi dodaj do niego ten kod (zastępując nazwę wyróżniającą własnego użytkownika sysadmin):dn: uid=new-sysadmin-uid,ou=users,ou=global,dc=apigee,dc=com changetype: modify add: pwdPolicySubentry pwdPolicySubentry: cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
- Zmodyfikuj użytkownika, wpisując to polecenie:
ldapmodify -x -w "$ldappassword" -D "cn=manager,dc=apigee,dc=com" -H ldap://localhost:10389 -f ppchange.ldif
- Sprawdź zmianę za pomocą polecenia wyszukiwania
ldap:ldapsearch -x -W -D "cn=manager,dc=apigee,dc=com" -H "ldap://:10389" -b "uid=new-sysadmin-uid,ou=users,ou=global,dc=apigee,dc=com" -s base -LLL pwdPolicySubentry
Dane wyjściowe powinny zawierać dodany element
pwdPolicySubentry:dn: uid=new-admin-uid,ou=users,ou=global,dc=apigee,dc=com pwdPolicySubentry: cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
- Powtórz kroki 2–4 w przypadku każdego administratora systemu.
Domyślne atrybuty zasad haseł LDAP
| Atrybut | Opis | Domyślny |
|---|---|---|
pwdExpireWarning |
Maksymalna liczba sekund przed wygaśnięciem hasła, po której użytkownik uwierzytelniający się w katalogu otrzyma ostrzeżenie o wygaśnięciu. |
604800 (odpowiednik 7 dni) |
pwdFailureCountInterval |
Liczba sekund, po których stare kolejne nieudane próby powiązania są usuwane z licznika niepowodzeń. Innymi słowy, jest to liczba sekund, po których liczba kolejnych nieudanych prób logowania jest resetowana. Jeśli zasada Jeśli atrybut Zalecamy ustawienie tego atrybutu na tę samą wartość co atrybut |
300 |
pwdInHistory |
Maksymalna liczba używanych lub poprzednich haseł użytkownika, które będą przechowywane w atrybucie Podczas zmiany hasła użytkownik nie będzie mógł zmienić go na żadne z poprzednich haseł. |
3 |
pwdLockout |
Jeśli zasada ma wartość |
Fałsz |
pwdLockoutDuration |
Liczba sekund, przez które nie można użyć hasła do uwierzytelnienia użytkownika z powodu zbyt wielu kolejnych nieudanych prób logowania. Innymi słowy, jest to czas, przez który konto użytkownika pozostanie zablokowane z powodu przekroczenia liczby kolejnych nieudanych prób logowania ustawionej przez atrybut Jeśli zasada Zobacz Odblokowywanie konta użytkownika. Jeśli wartość atrybutu Zalecamy ustawienie tego atrybutu na tę samą wartość co atrybut |
300 |
pwdMaxAge |
Liczba sekund, po których wygasa hasło użytkownika (niebędącego administratorem systemu). Wartość 0 oznacza, że hasła nie wygasają. Wartość domyślna 2592000 odpowiada 30 dniom od momentu utworzenia hasła. |
user: 2592000 sysadmin: 0 |
pwdMaxFailure |
Liczba kolejnych nieudanych prób logowania, po których nie można użyć hasła do uwierzytelnienia użytkownika w katalogu. |
3 |
pwdMinLength |
Określa minimalną liczbę znaków wymaganą podczas ustawiania hasła. |
8 |
Odblokowywanie konta użytkownika
Konto użytkownika może zostać zablokowane z powodu atrybutów ustawionych w zasadach dotyczących haseł. Użytkownik z przypisaną rolą sysadmin Apigee może odblokować konto użytkownika za pomocą tego wywołania interfejsu API. Zastąp userEmail, adminEmail i password rzeczywistymi wartościami.
Aby odblokować użytkownika:
/v1/users/userEmail/status?action=unlock -X POST -u adminEmail:password