การจัดการนโยบายรหัสผ่าน LDAP เริ่มต้นสําหรับการจัดการ API

ระบบ Apigee ใช้ OpenLDAP เพื่อตรวจสอบสิทธิ์ผู้ใช้ในสภาพแวดล้อมการจัดการ API OpenLDAP จะทำให้ฟังก์ชันการทำงานของนโยบายรหัสผ่าน LDAP นี้พร้อมใช้งาน

ส่วนนี้จะอธิบายวิธีกำหนดค่านโยบายรหัสผ่าน LDAP เริ่มต้นที่ส่งมา ใช้นโยบายรหัสผ่านนี้เพื่อกำหนดค่าตัวเลือกการตรวจสอบสิทธิ์ด้วยรหัสผ่านต่างๆ เช่น จำนวนครั้งที่พยายามเข้าสู่ระบบไม่สำเร็จติดต่อกัน หลังจากนั้นจะใช้รหัสผ่านเพื่อตรวจสอบสิทธิ์ผู้ใช้ในไดเรกทอรีไม่ได้อีกต่อไป

ส่วนนี้ยังอธิบายวิธีใช้ API 2 รายการเพื่อปลดล็อกบัญชีผู้ใช้ที่ถูกล็อกตามแอตทริบิวต์ที่กำหนดค่าไว้ในนโยบายรหัสผ่านเริ่มต้นด้วย

ดูข้อมูลเพิ่มเติมได้ที่หัวข้อต่อไปนี้

การกำหนดค่านโยบายรหัสผ่าน LDAP เริ่มต้น

ส่วนนี้จะอธิบายวิธีกำหนดค่านโยบายรหัสผ่าน LDAP เริ่มต้นสำหรับรายการต่อไปนี้

การกำหนดค่านโยบายรหัสผ่าน LDAP เริ่มต้นสำหรับผู้ใช้ Edge และผู้ดูแลระบบเดิม

วิธีกำหนดค่านโยบายรหัสผ่าน LDAP เริ่มต้นสำหรับผู้ใช้ Edge และผู้ดูแลระบบเดิม

  1. เชื่อมต่อกับเซิร์ฟเวอร์ LDAP โดยใช้ไคลเอ็นต์ LDAP เช่น Apache Studio หรือ ldapmodify โดยค่าเริ่มต้น เซิร์ฟเวอร์ OpenLDAP จะคอยตรวจหาพอร์ต 10389 ในโหนด OpenLDAP

    หากต้องการเชื่อมต่อ ให้ระบุ Bind DN หรือผู้ใช้ของ cn=manager,dc=apigee,dc=com และรหัสผ่าน OpenLDAP ที่คุณตั้งไว้ตอนติดตั้ง Edge

  2. ใช้ไคลเอ็นต์เพื่อไปยังแอตทริบิวต์นโยบายรหัสผ่านสำหรับรายการต่อไปนี้
  3. แก้ไขค่าแอตทริบิวต์นโยบายรหัสผ่านตามต้องการ
  4. บันทึกการกำหนดค่า

การกำหนดค่านโยบายรหัสผ่าน LDAP สำหรับผู้ดูแลระบบเพิ่มเติม

เมื่อคุณเพิ่มผู้ใช้ sysadmin ลงใน Edge ผู้ใช้จะรับนโยบายรหัสผ่านเริ่มต้น ไม่ใช่นโยบายรหัสผ่าน sysadmin ของ sysadmin เดิม นโยบายรหัสผ่านเริ่มต้นจะหมดอายุหลังจากระยะเวลาหนึ่ง เว้นแต่จะกำหนดค่าเป็นอย่างอื่น หากต้องการตั้งค่านโยบายรหัสผ่านของผู้ใช้ sysadmin เพิ่มเติมเพื่อไม่ให้หมดอายุ ให้ทำตามขั้นตอนต่อไปนี้

  1. ค้นหาผู้ดูแลระบบทั้งหมดของ dn โดยเรียกใช้คำสั่งนี้ 
    ldapsearch -x -W -D "cn=manager,dc=apigee,dc=com" -H "ldap://:10389" -b "cn=sysadmin,ou=userroles,ou=global,dc=apigee,dc=com" -s base
 -LLL

    เอาต์พุตจะแสดงผู้ใช้ที่เป็นผู้ดูแลระบบเป็น roleOccupant ดังนี้

    dn: cn=sysadmin,ou=userroles,ou=global,dc=apigee,dc=com
objectClass: organizationalRole
objectClass: top
cn: sysadmin
roleOccupant: uid=admin,ou=users,ou=global,dc=apigee,dc=com
roleOccupant: uid=2a0056b4-5c62-49de-8fb3-925ch67a3e45,ou=users,ou=global,dc=apigee,dc=com
  2. สร้างไฟล์ใหม่ชื่อ ppchange.ldif และเพิ่มข้อมูลต่อไปนี้ลงในไฟล์ (แทนที่ dn ของผู้ใช้ sysadmin ของคุณเอง) 
    dn: uid=new-sysadmin-uid,ou=users,ou=global,dc=apigee,dc=com
changetype: modify
add: pwdPolicySubentry
pwdPolicySubentry: cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
  3. แก้ไขผู้ใช้โดยป้อนคำสั่งต่อไปนี้ 
    ldapmodify -x -w "$ldappassword" -D "cn=manager,dc=apigee,dc=com" -H ldap://localhost:10389 -f ppchange.ldif
  4. ยืนยันการเปลี่ยนแปลงด้วยคำสั่งค้นหา ldap ดังนี้ 
    ldapsearch -x -W -D "cn=manager,dc=apigee,dc=com" -H "ldap://:10389" -b "uid=new-sysadmin-uid,ou=users,ou=global,dc=apigee,dc=com" -s base -LLL pwdPolicySubentry

    เอาต์พุตจะแสดงการเพิ่ม pwdPolicySubentry ดังนี้ 

    dn: uid=new-admin-uid,ou=users,ou=global,dc=apigee,dc=com
pwdPolicySubentry: cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
  5. ทำขั้นตอนที่ 2 ถึง 4 ซ้ำสำหรับผู้ดูแลระบบแต่ละคน

แอตทริบิวต์นโยบายรหัสผ่าน LDAP เริ่มต้น

แอตทริบิวต์ คำอธิบาย ค่าเริ่มต้น 
pwdExpireWarning
 จำนวนวินาทีสูงสุดก่อนที่รหัสผ่านจะหมดอายุ ซึ่งข้อความเตือนการหมดอายุจะแสดงต่อผู้ใช้ที่กำลังตรวจสอบสิทธิ์ในไดเรกทอรี

604800

(เทียบเท่ากับ 7 วัน)

 
pwdFailureCountInterval

จำนวนวินาทีที่ระบบจะล้างข้อมูลการพยายามเชื่อมโยงที่ล้มเหลวติดต่อกันครั้งเก่าออกจากตัวนับความล้มเหลว

กล่าวคือ จำนวนวินาทีที่ระบบจะรีเซ็ตจำนวนครั้งที่พยายามเข้าสู่ระบบไม่สำเร็จติดต่อกัน

หากตั้งค่า pwdFailureCountInterval เป็น 0 จะมีเพียงการตรวจสอบสิทธิ์ที่สำเร็จเท่านั้นที่รีเซ็ตตัวนับได้

หากตั้งค่า pwdFailureCountInterval เป็น >0 แอตทริบิวต์จะกำหนดระยะเวลาที่ระบบจะรีเซ็ตจำนวนครั้งที่พยายามเข้าสู่ระบบไม่สำเร็จติดต่อกันโดยอัตโนมัติ แม้ว่าจะไม่มีการตรวจสอบสิทธิ์ที่สำเร็จก็ตาม

เราขอแนะนำให้ตั้งค่าแอตทริบิวต์นี้เป็นค่าเดียวกับแอตทริบิวต์ pwdLockoutDuration

 300 
pwdInHistory

จำนวนสูงสุดของรหัสผ่านที่ใช้แล้วหรือรหัสผ่านเดิมของผู้ใช้ที่จะจัดเก็บไว้ในแอตทริบิวต์ pwdHistory

เมื่อเปลี่ยนรหัสผ่าน ระบบจะบล็อกไม่ให้ผู้ใช้เปลี่ยนรหัสผ่านเป็นรหัสผ่านที่เคยใช้ในอดีต

 3 
pwdLockout

หากเป็น TRUE จะระบุให้ล็อกผู้ใช้เมื่อรหัสผ่านหมดอายุ เพื่อไม่ให้ผู้ใช้เข้าสู่ระบบได้อีก

 เท็จ 
pwdLockoutDuration

จำนวนวินาทีที่ไม่สามารถใช้รหัสผ่านเพื่อตรวจสอบสิทธิ์ผู้ใช้ได้เนื่องจากพยายามเข้าสู่ระบบไม่สำเร็จติดต่อกันหลายครั้งเกินไป

กล่าวคือ ระยะเวลาที่บัญชีผู้ใช้จะยังคงถูกล็อกเนื่องจากพยายามเข้าสู่ระบบไม่สำเร็จติดต่อกันเกินจำนวนครั้งที่กำหนดโดยแอตทริบิวต์ pwdMaxFailure

หากตั้งค่า pwdLockoutDuration เป็น 0 บัญชีผู้ใช้จะยังคงล็อกอยู่จนกว่าผู้ดูแลระบบจะปลดล็อก

โปรดดูหัวข้อการปลดล็อกบัญชีผู้ใช้

หากตั้งค่า pwdLockoutDuration เป็น >0 แอตทริบิวต์จะกำหนดระยะเวลาที่บัญชีผู้ใช้จะยังคงล็อกอยู่ เมื่อระยะเวลานี้ผ่านไป ระบบจะปลดล็อกบัญชีผู้ใช้โดยอัตโนมัติ

เราขอแนะนำให้ตั้งค่าแอตทริบิวต์นี้เป็นค่าเดียวกับแอตทริบิวต์ pwdFailureCountInterval

 300 
pwdMaxAge

จำนวนวินาทีหลังจากที่รหัสผ่านของผู้ใช้ (ที่ไม่ใช่ผู้ดูแลระบบ) หมดอายุ ค่า 0 หมายความว่ารหัสผ่านไม่มีวันหมดอายุ ค่าเริ่มต้น 2592000 จะสอดคล้องกับ 30 วันนับจากเวลาที่สร้างรหัสผ่าน

ผู้ใช้: 2592000

sysadmin: 0

 
pwdMaxFailure

จำนวนครั้งที่พยายามเข้าสู่ระบบไม่สำเร็จติดต่อกัน ซึ่งหลังจากนั้นจะใช้รหัสผ่านเพื่อตรวจสอบสิทธิ์ผู้ใช้ในไดเรกทอรีไม่ได้

 3 
pwdMinLength

ระบุจำนวนอักขระขั้นต่ำที่ต้องใช้เมื่อตั้งรหัสผ่าน

 8

การปลดล็อกบัญชีผู้ใช้

บัญชีของผู้ใช้อาจถูกล็อกเนื่องจากแอตทริบิวต์ที่ตั้งค่าไว้ในนโยบายรหัสผ่าน ผู้ใช้ที่ได้รับมอบหมายบทบาท sysadmin Apigee สามารถใช้การเรียก API ต่อไปนี้เพื่อปลดล็อกบัญชีของผู้ใช้ได้ แทนที่ userEmail, adminEmail และ password ด้วยค่าจริง

วิธีปลดล็อกผู้ใช้

/v1/users/userEmail/status?action=unlock -X POST -u adminEmail:password