Zarządzanie domyślną zasadą dotyczącą haseł na potrzeby zarządzania interfejsami API

System Apigee używa OpenLDAP do uwierzytelniania użytkowników w środowisku zarządzania interfejsami API. OpenLDAP udostępnia tę funkcję zasad dotyczących haseł LDAP.

W tej sekcji opisaliśmy, jak skonfigurować dostarczone domyślne zasady haseł LDAP. Ta zasada dotycząca haseł umożliwia skonfigurowanie różnych opcji uwierzytelniania haseł, na przykład liczby kolejnych nieudanych prób logowania, po których nie można już użyć hasła do uwierzytelnienia użytkownika w katalogu.

W tej sekcji opisaliśmy też, jak za pomocą kilku interfejsów API odblokować konta użytkowników, które zostały zablokowane zgodnie z atrybutami skonfigurowanymi w domyślnej zasadie dotyczącej haseł.

Więcej informacji znajdziesz w tych artykułach:

• Zasady LDAP
• „Ważne informacje o zasadach dotyczących haseł” w społeczności Apigee.

Konfigurowanie domyślnej zasady dotyczącej hasła LDAP

W tej sekcji opisano, jak skonfigurować domyślną zasadę hasła LDAP w przypadku:

• Użytkownicy Edge i pierwotny administrator sysadmin
• Dodatkowi administratorzy systemu

Konfigurowanie domyślnej zasady dotyczącej haseł LDAP dla użytkowników Edge i pierwotnego administratora

Aby skonfigurować domyślną zasadę hasła LDAP dla użytkowników Edge i pierwotnego administratora systemu:

1. Połącz się z serwerem LDAP za pomocą klienta LDAP, takiego jak Apache Studio lub ldapmodify. Domyślnie serwer OpenLDAP nasłuchuje na porcie 10389 na węźle OpenLDAP.

   Aby się połączyć, określ nazwę wyróżniającą Bind lub użytkownika cn=manager,dc=apigee,dc=com oraz hasło OpenLDAP ustawione podczas instalacji Edge.

2. Użyj klienta, aby przejść do atrybutów zasad dotyczących haseł w przypadku:
   • Użytkownicy Edge: cn=default,ou=pwpolicies,dc=apigee,dc=com
   • Pierwotny administrator Edge: cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
     Uwaga: aby skonfigurować zasady haseł LDAP dla dodatkowych administratorów (innych niż pierwotny administrator), wykonaj czynności opisane w sekcji Konfigurowanie zasad haseł LDAP dla dodatkowych administratorów.
3. Edytuj wartości atrybutów zasad dotyczących haseł zgodnie z potrzebami.
4. Zapisz konfigurację.

Konfigurowanie zasad haseł LDAP dla dodatkowych administratorów sysadmin

Gdy dodasz użytkowników sysadmin do Edge, odziedziczą oni domyślną zasadę dotyczącą haseł, a nie zasadę dotyczącą haseł sysadmina pierwotnego sysadmina. Domyślna zasada dotycząca haseł wygasa po określonym czasie, chyba że skonfigurowano inaczej. Aby ustawić zasadę dotyczącą haseł dodatkowych użytkowników z uprawnieniami administratora systemu, która nie będzie wygasać, wykonaj te czynności:

1. Znajdź wszystkich administratorów systemu dn, wykonując to polecenie:

   ldapsearch -x -W -D "cn=manager,dc=apigee,dc=com" -H "ldap://:10389" -b "cn=sysadmin,ou=userroles,ou=global,dc=apigee,dc=com" -s base
    -LLL

   Dane wyjściowe zawierają użytkowników sysadmin jako roleOccupant:

   dn: cn=sysadmin,ou=userroles,ou=global,dc=apigee,dc=com
   objectClass: organizationalRole
   objectClass: top
   cn: sysadmin
   roleOccupant: uid=admin,ou=users,ou=global,dc=apigee,dc=com
   roleOccupant: uid=2a0056b4-5c62-49de-8fb3-925ch67a3e45,ou=users,ou=global,dc=apigee,dc=com

2. Utwórz nowy plik o nazwie ppchange.ldif i dodaj do niego ten plik (zastępując nazwę DNS własnego użytkownika sysadmin):

   dn: uid=new-sysadmin-uid,ou=users,ou=global,dc=apigee,dc=com
   changetype: modify
   add: pwdPolicySubentry
   pwdPolicySubentry: cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com

3. Zmień użytkownika, wpisując to polecenie:

   ldapmodify -x -w "$ldappassword" -D "cn=manager,dc=apigee,dc=com" -H ldap://localhost:10389 -f ppchange.ldif

4. Sprawdź zmianę za pomocą polecenia wyszukiwania ldap:

   ldapsearch -x -W -D "cn=manager,dc=apigee,dc=com" -H "ldap://:10389" -b "uid=new-sysadmin-uid,ou=users,ou=global,dc=apigee,dc=com" -s base -LLL pwdPolicySubentry

   Dane wyjściowe będą zawierać dodatkowy element pwdPolicySubentry:

   dn: uid=new-admin-uid,ou=users,ou=global,dc=apigee,dc=com
   pwdPolicySubentry: cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com

5. Powtórz kroki 2–4 w przypadku każdego administratora.

Domyślne atrybuty zasad dotyczących haseł LDAP

pwdExpireWarning

pwdFailureCountInterval

pwdInHistory

pwdLockout

pwdLockoutDuration

pwdMaxAge

pwdMaxFailure

pwdMinLength

Odblokowywanie konta użytkownika

Konto użytkownika może zostać zablokowane z powodu atrybutów ustawionych w zasadach dotyczących haseł. Użytkownik z przypisaną rolą sysadmin w Apigee może użyć tego wywołania interfejsu API, aby odblokować swoje konto. Zastąp wartości userEmail, adminEmail i password rzeczywistymi wartościami.

Aby odblokować użytkownika:

/v1/users/userEmail/status?action=unlock -X POST -u adminEmail:password