إدارة السياسة التلقائية لكلمات مرور خدمة LDAP لإدارة واجهة برمجة التطبيقات

يستخدم نظام Apigee بروتوكول OpenLDAP لمصادقة المستخدمين في بيئة إدارة واجهة برمجة التطبيقات. يوفّر OpenLDAP وظيفة سياسة كلمة مرور LDAP هذه.

يوضّح هذا القسم كيفية ضبط سياسة كلمة مرور LDAP التلقائية التي تم تسليمها. استخدِم سياسة كلمة المرور هذه لضبط خيارات مصادقة كلمة المرور المختلفة، مثل عدد محاولات تسجيل الدخول الفاشلة المتتالية التي لا يمكن بعدها استخدام كلمة مرور لمصادقة مستخدم في الدليل.

ويوضّح هذا القسم أيضًا كيفية استخدام بعض واجهات برمجة التطبيقات لفتح حسابات المستخدمين التي تم قفلها وفقًا للسمات التي تم ضبطها في سياسة كلمة المرور التلقائية.

لمزيد من المعلومات، يُرجى الاطّلاع على:

ضبط سياسة كلمة مرور LDAP التلقائية

يوضّح هذا القسم كيفية ضبط سياسة كلمة مرور LDAP التلقائية لكل من:

ضبط سياسة كلمة مرور LDAP التلقائية لمستخدمي Edge ومشرف النظام الأصلي

لضبط سياسة كلمة مرور LDAP التلقائية لمستخدمي Edge ومشرف النظام الأصلي:

  1. اتصِل بخادم LDAP باستخدام برنامج LDAP، مثل Apache Studio أو ldapmodify. يستجيب خادم OpenLDAP تلقائيًا عبر المنفذ 10389 على عقدة OpenLDAP.

    للاتصال، حدِّد اسم Bind DN أو مستخدم cn=manager,dc=apigee,dc=com وكلمة مرور OpenLDAP التي ضبطتها في وقت تثبيت Edge.

  2. استخدِم العميل للانتقال إلى سمات سياسة كلمة المرور لكل من:
    • مستخدمو Edge: ‏cn=default,ou=pwpolicies,dc=apigee,dc=com
    • مشرف النظام الأصلي في Edge: cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
      ملاحظة: لضبط سياسة كلمة مرور LDAP لمشرفي النظام الإضافيين (بخلاف مشرف النظام الأصلي)، يُرجى الاطّلاع على قسم ضبط سياسة كلمة مرور LDAP لمشرفي النظام الإضافيين أدناه.
  3. عدِّل قيم سمات سياسة كلمة المرور حسب الحاجة.
  4. احفظ الإعدادات.

ضبط سياسة كلمة مرور LDAP لمشرفي النظام الإضافيين

عند إضافة مستخدمين مشرفي نظام إلى Edge، فإنهم يرثون سياسة كلمة المرور التلقائية، بدلاً من سياسة كلمة مرور مشرف النظام لمشرف النظام الأصلي. تنتهي صلاحية سياسة كلمة المرور التلقائية بعد فترة زمنية معيّنة ما لم يتم ضبطها على غير ذلك. لضبط سياسة كلمة المرور لمشرفي النظام الإضافيين بحيث لا تنتهي صلاحيتها، اتّبِع الخطوات التالية:

  1. ابحث عن dn جميع مشرفي النظام من خلال تنفيذ هذا الأمر: 
    ldapsearch -x -W -D "cn=manager,dc=apigee,dc=com" -H "ldap://:10389" -b "cn=sysadmin,ou=userroles,ou=global,dc=apigee,dc=com" -s base
 -LLL

    تعرض النتيجة مستخدمي sysadmin على النحو التالي roleOccupant:

    dn: cn=sysadmin,ou=userroles,ou=global,dc=apigee,dc=com
objectClass: organizationalRole
objectClass: top
cn: sysadmin
roleOccupant: uid=admin,ou=users,ou=global,dc=apigee,dc=com
roleOccupant: uid=2a0056b4-5c62-49de-8fb3-925ch67a3e45,ou=users,ou=global,dc=apigee,dc=com
  2. أنشئ ملفًا جديدًا باسم ppchange.ldif وأضِف إليه ما يلي (مع استبدال اسم النطاق الخاص بمستخدم مشرف النظام): 
    dn: uid=new-sysadmin-uid,ou=users,ou=global,dc=apigee,dc=com
changetype: modify
add: pwdPolicySubentry
pwdPolicySubentry: cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
  3. عدِّل المستخدم من خلال إدخال الأمر التالي: 
    ldapmodify -x -w "$ldappassword" -D "cn=manager,dc=apigee,dc=com" -H ldap://localhost:10389 -f ppchange.ldif
  4. تحقَّق من التغيير باستخدام أمر البحث ldap: 
    ldapsearch -x -W -D "cn=manager,dc=apigee,dc=com" -H "ldap://:10389" -b "uid=new-sysadmin-uid,ou=users,ou=global,dc=apigee,dc=com" -s base -LLL pwdPolicySubentry

    ستعرض النتيجة إضافة pwdPolicySubentry: 

    dn: uid=new-admin-uid,ou=users,ou=global,dc=apigee,dc=com
pwdPolicySubentry: cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
  5. كرِّر الخطوات من 2 إلى 4 لكل مشرف نظام.

سمات سياسة كلمات المرور التلقائية في LDAP

السمة الوصف تلقائي 
pwdExpireWarning
 الحد الأقصى لعدد الثواني قبل انتهاء صلاحية كلمة المرور، حيث سيتم عرض رسائل تحذيرية بانتهاء الصلاحية للمستخدم الذي تتم مصادقته في الدليل.

604800

(ما يعادل 7 أيام)

 
pwdFailureCountInterval

عدد الثواني التي يتم بعدها إزالة محاولات الربط الفاشلة المتتالية القديمة من عدّاد حالات التعذُّر.

بعبارة أخرى، هذا هو عدد الثواني التي تتم بعدها إعادة ضبط عدد محاولات تسجيل الدخول الفاشلة المتتالية.

إذا تم ضبط السياسة pwdFailureCountInterval على 0، يمكن فقط لعملية مصادقة ناجحة إعادة ضبط العدّاد.

إذا تم ضبط السمة pwdFailureCountInterval على قيمة أكبر من 0، تحدّد السمة مدة تتم بعدها إعادة ضبط عدد محاولات تسجيل الدخول الفاشلة المتتالية تلقائيًا، حتى إذا لم تتم أي مصادقة ناجحة.

ننصح بضبط هذه السمة على القيمة نفسها لسمة pwdLockoutDuration.

 300 
pwdInHistory

الحد الأقصى لعدد كلمات المرور المستخدَمة أو السابقة للمستخدم التي سيتم تخزينها في السمة pwdHistory.

عند تغيير كلمة المرور، سيتم منع المستخدم من تغييرها إلى أي من كلماتها السابقة.

 3 
pwdLockout

في حال ضبط السياسة على TRUE، يتم تحديد قفل حساب المستخدم عند انتهاء صلاحية كلمة المرور حتى لا يتمكّن المستخدم من تسجيل الدخول.

 خطأ 
pwdLockoutDuration

عدد الثواني التي لا يمكن خلالها استخدام كلمة مرور لمصادقة المستخدم بسبب عدد كبير جدًا من محاولات تسجيل الدخول الفاشلة المتتالية.

بعبارة أخرى، هذه هي المدة التي سيظل فيها حساب المستخدم مقفلاً بسبب تجاوز عدد محاولات تسجيل الدخول الفاشلة المتتالية التي تم ضبطها من خلال السمة pwdMaxFailure.

إذا تم ضبط pwdLockoutDuration على 0، سيظل حساب المستخدم مقفلاً إلى أن يفتح مشرف النظام قفله.

يُرجى الاطّلاع على فتح قفل حساب مستخدم.

إذا تم ضبط السمة pwdLockoutDuration على قيمة أكبر من 0، تحدّد السمة مدة بقاء حساب المستخدم مقفلاً. عند انقضاء هذه الفترة الزمنية، سيتم تلقائيًا فتح قفل حساب المستخدم.

ننصح بضبط هذه السمة على القيمة نفسها لسمة pwdFailureCountInterval.

 300 
pwdMaxAge

عدد الثواني التي تنتهي بعدها صلاحية كلمة مرور المستخدم (غير مشرف النظام). وتعني القيمة 0 عدم انتهاء صلاحية كلمات المرور. وتتوافق القيمة التلقائية 2592000 مع 30 يومًا من وقت إنشاء كلمة المرور.

user: 2592000

مشرف النظام: 0

 
pwdMaxFailure

عدد محاولات تسجيل الدخول الفاشلة المتتالية التي لا يمكن بعدها استخدام كلمة مرور لمصادقة مستخدم في الدليل

 3 
pwdMinLength

يحدّد هذا الإعداد الحدّ الأدنى لعدد الأحرف المطلوبة عند ضبط كلمة مرور.

 8

فتح قفل حساب مستخدم

قد يتم قفل حساب المستخدم بسبب السمات المحدّدة في سياسة كلمة المرور. يمكن للمستخدم الذي تم تعيين دور مشرف النظام في Apigee له استخدام طلب بيانات من واجهة برمجة التطبيقات التالي لإلغاء قفل حساب المستخدم. استبدِل userEmail وadminEmail وpassword بالقيم الفعلية.

لإلغاء قفل مستخدم:

/v1/users/userEmail/status?action=unlock -X POST -u adminEmail:password