Mengelola kebijakan sandi LDAP default untuk pengelolaan API

Sistem Apigee menggunakan OpenLDAP untuk mengautentikasi pengguna di lingkungan pengelolaan API Anda. OpenLDAP menyediakan fungsi kebijakan sandi LDAP ini.

Bagian ini menjelaskan cara mengonfigurasi kebijakan sandi LDAP default yang disediakan. Gunakan kebijakan sandi ini untuk mengonfigurasi berbagai opsi autentikasi sandi, seperti jumlah upaya login gagal berturut-turut yang menyebabkan sandi tidak dapat lagi digunakan untuk mengautentikasi pengguna ke direktori.

Bagian ini juga menjelaskan cara menggunakan beberapa API untuk membuka kunci akun pengguna yang telah dikunci sesuai dengan atribut yang dikonfigurasi dalam kebijakan sandi default.

Untuk informasi tambahan, lihat:

Mengonfigurasi kebijakan sandi LDAP default

Bagian ini menjelaskan cara mengonfigurasi kebijakan sandi LDAP default untuk:

Mengonfigurasi kebijakan sandi LDAP default untuk pengguna Edge dan sysadmin asli

Untuk mengonfigurasi kebijakan sandi LDAP default bagi pengguna Edge dan sysadmin asli:

  1. Hubungkan ke server LDAP Anda menggunakan klien LDAP, seperti Apache Studio atau ldapmodify. Secara default, server OpenLDAP memproses port 10389 di node OpenLDAP.

    Untuk menghubungkan, tentukan Bind DN atau pengguna cn=manager,dc=apigee,dc=com dan sandi OpenLDAP yang Anda tetapkan pada saat penginstalan Edge.

  2. Gunakan klien untuk membuka atribut kebijakan sandi untuk:
    • Pengguna Edge: cn=default,ou=pwpolicies,dc=apigee,dc=com
    • Sysadmin Edge asli: cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
      Catatan: Untuk mengonfigurasi kebijakan sandi LDAP bagi sysadmin tambahan (selain sysadmin asli), lihat bagian Mengonfigurasi kebijakan sandi LDAP untuk sysadmin tambahan di bawah.
  3. Edit nilai atribut kebijakan sandi sesuai keinginan.
  4. Simpan konfigurasi.

Mengonfigurasi kebijakan sandi LDAP untuk sysadmin tambahan

Saat Anda menambahkan pengguna sysadmin ke Edge, mereka akan mewarisi kebijakan sandi default, bukan kebijakan sandi sysadmin dari sysadmin asli. Kebijakan sandi default akan berakhir setelah jangka waktu tertentu, kecuali jika dikonfigurasi sebaliknya. Untuk menetapkan kebijakan sandi pengguna sysadmin tambahan agar tidak habis masa berlakunya, ikuti langkah-langkah berikut:

  1. Temukan dn semua sysadmin dengan menjalankan perintah ini: 
    ldapsearch -x -W -D "cn=manager,dc=apigee,dc=com" -H "ldap://:10389" -b "cn=sysadmin,ou=userroles,ou=global,dc=apigee,dc=com" -s base
 -LLL

    Output menampilkan pengguna sysadmin sebagai roleOccupant:

    dn: cn=sysadmin,ou=userroles,ou=global,dc=apigee,dc=com
objectClass: organizationalRole
objectClass: top
cn: sysadmin
roleOccupant: uid=admin,ou=users,ou=global,dc=apigee,dc=com
roleOccupant: uid=2a0056b4-5c62-49de-8fb3-925ch67a3e45,ou=users,ou=global,dc=apigee,dc=com
  2. Buat file baru bernama ppchange.ldif dan tambahkan kode berikut ke dalamnya (ganti dn pengguna sysadmin Anda sendiri): 
    dn: uid=new-sysadmin-uid,ou=users,ou=global,dc=apigee,dc=com
changetype: modify
add: pwdPolicySubentry
pwdPolicySubentry: cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
  3. Ubah pengguna dengan memasukkan perintah berikut: 
    ldapmodify -x -w "$ldappassword" -D "cn=manager,dc=apigee,dc=com" -H ldap://localhost:10389 -f ppchange.ldif
  4. Verifikasi perubahan dengan perintah penelusuran ldap: 
    ldapsearch -x -W -D "cn=manager,dc=apigee,dc=com" -H "ldap://:10389" -b "uid=new-sysadmin-uid,ou=users,ou=global,dc=apigee,dc=com" -s base -LLL pwdPolicySubentry

    Output akan menampilkan penambahan pwdPolicySubentry: 

    dn: uid=new-admin-uid,ou=users,ou=global,dc=apigee,dc=com
pwdPolicySubentry: cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
  5. Ulangi langkah 2 hingga 4 untuk setiap sysadmin.

Atribut Kebijakan Sandi LDAP Default

Atribut Deskripsi Default 
pwdExpireWarning
 Jumlah detik maksimum sebelum sandi akan habis masa berlakunya, sehingga pesan peringatan masa berlaku akan ditampilkan kepada pengguna yang melakukan autentikasi ke direktori.

604800

(Setara dengan 7 hari)

 
pwdFailureCountInterval

Jumlah detik setelah upaya pengikatan gagal berturut-turut yang lama dihapus dari penghitung kegagalan.

Dengan kata lain, ini adalah jumlah detik setelah jumlah upaya login gagal berturut-turut direset.

Jika pwdFailureCountInterval ditetapkan ke 0, hanya autentikasi yang berhasil yang dapat mereset penghitung.

Jika pwdFailureCountInterval ditetapkan ke >0, atribut ini menentukan durasi setelah jumlah upaya login gagal berturut-turut otomatis direset, meskipun tidak ada autentikasi yang berhasil.

Sebaiknya tetapkan atribut ini ke nilai yang sama dengan atribut pwdLockoutDuration.

 300 
pwdInHistory

Jumlah maksimum sandi yang digunakan, atau sandi lama, untuk pengguna yang akan disimpan dalam atribut pwdHistory.

Saat mengubah sandinya, pengguna akan diblokir agar tidak mengubahnya ke salah satu sandi sebelumnya.

 3 
pwdLockout

Jika TRUE, menentukan untuk mengunci pengguna saat sandinya habis masa berlakunya sehingga pengguna tidak dapat lagi login.

 Salah 
pwdLockoutDuration

Jumlah detik saat sandi tidak dapat digunakan untuk mengautentikasi pengguna karena terlalu banyak upaya login gagal yang berturut-turut.

Dengan kata lain, ini adalah durasi waktu akun pengguna akan tetap terkunci karena melebihi jumlah upaya login gagal berturut-turut yang ditetapkan oleh atribut pwdMaxFailure.

Jika pwdLockoutDuration ditetapkan ke 0, akun pengguna akan tetap terkunci hingga administrator sistem membukanya.

Lihat Membuka kunci akun pengguna.

Jika pwdLockoutDuration ditetapkan ke >0, atribut ini menentukan durasi akun pengguna akan tetap terkunci. Setelah jangka waktu ini berlalu, akun pengguna akan otomatis dibuka kuncinya.

Sebaiknya tetapkan atribut ini ke nilai yang sama dengan atribut pwdFailureCountInterval.

 300 
pwdMaxAge

Jumlah detik setelah masa berlaku sandi pengguna (non-sysadmin) berakhir. Nilai 0 berarti sandi tidak akan habis masa berlakunya. Nilai default 2592000 sesuai dengan 30 hari sejak sandi dibuat.

user: 2592000

sysadmin: 0

 
pwdMaxFailure

Jumlah upaya login gagal berturut-turut yang menyebabkan sandi tidak dapat digunakan untuk mengautentikasi pengguna ke direktori.

 3 
pwdMinLength

Menentukan jumlah karakter minimum yang diperlukan saat menyetel sandi.

 8

Membuka Akun Pengguna

Akun pengguna mungkin dikunci karena atribut yang ditetapkan dalam kebijakan sandi. Pengguna dengan peran Apigee sysadmin yang ditetapkan dapat menggunakan panggilan API berikut untuk membuka kunci akun pengguna. Ganti userEmail, adminEmail, dan password dengan nilai sebenarnya.

Untuk membuka kunci pengguna:

/v1/users/userEmail/status?action=unlock -X POST -u adminEmail:password