Hệ thống Apigee sử dụng OpenLDAP để xác thực người dùng trong môi trường quản lý API của bạn. OpenLDAP cung cấp chức năng chính sách mật khẩu LDAP này.
Phần này mô tả cách định cấu hình chính sách mật khẩu LDAP mặc định được phân phối. Hãy sử dụng chính sách mật khẩu này để định cấu hình các tuỳ chọn xác thực mật khẩu, chẳng hạn như số lần đăng nhập không thành công liên tiếp mà sau đó không thể dùng mật khẩu để xác thực người dùng vào thư mục nữa.
Phần này cũng mô tả cách sử dụng một số API để mở khoá tài khoản người dùng đã bị khoá theo các thuộc tính được định cấu hình trong chính sách mật khẩu mặc định.
Để biết thêm thông tin, hãy xem:
Định cấu hình chính sách mật khẩu LDAP mặc định
Phần này giải thích cách định cấu hình chính sách mật khẩu LDAP mặc định cho:
Định cấu hình chính sách mật khẩu LDAP mặc định cho người dùng Edge và quản trị viên hệ thống ban đầu
Cách định cấu hình chính sách mật khẩu LDAP mặc định cho người dùng Edge và quản trị viên hệ thống ban đầu:
- Kết nối với máy chủ LDAP bằng cách sử dụng ứng dụng LDAP, chẳng hạn như Apache Studio hoặc ldapmodify. Theo mặc định, máy chủ OpenLDAP theo dõi cổng 10389 trên nút OpenLDAP.
Để kết nối, hãy chỉ định DN liên kết hoặc người dùng
cn=manager,dc=apigee,dc=com
và mật khẩu OpenLDAP mà bạn đặt tại thời điểm cài đặt Edge. - Sử dụng ứng dụng để chuyển đến các thuộc tính chính sách mật khẩu cho:
- Người dùng Edge:
cn=default,ou=pwpolicies,dc=apigee,dc=com
- Quản trị viên hệ thống của Edge phiên bản gốc:
cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
Lưu ý: Để định cấu hình chính sách mật khẩu LDAP cho các quản trị viên hệ thống khác (ngoài quản trị viên hệ thống ban đầu), hãy xem phần Định cấu hình chính sách mật khẩu LDAP cho các quản trị viên hệ thống khác ở bên dưới.
- Người dùng Edge:
- Chỉnh sửa các giá trị thuộc tính chính sách mật khẩu như mong muốn.
- Lưu cấu hình.
Định cấu hình chính sách mật khẩu LDAP cho các quản trị viên hệ thống bổ sung
Khi bạn thêm người dùng sysadmin vào Edge, họ sẽ kế thừa chính sách mật khẩu mặc định, thay vì chính sách mật khẩu sysadmin của quản trị viên sys ban đầu. Chính sách mật khẩu mặc định sẽ hết hạn sau một khoảng thời gian nhất định, trừ phi được định cấu hình để thực hiện việc khác. Để đặt chính sách mật khẩu bổ sung của người dùng sysadmin sao cho chính sách này không hết hạn, hãy làm theo các bước sau:
- Tìm tất cả quản trị viên hệ thống của
dn
bằng cách chạy lệnh sau:ldapsearch -x -W -D "cn=manager,dc=apigee,dc=com" -H "ldap://:10389" -b "cn=sysadmin,ou=userroles,ou=global,dc=apigee,dc=com" -s base -LLL
Kết quả cho thấy người dùng sysadmin là
roleOccupant
:dn: cn=sysadmin,ou=userroles,ou=global,dc=apigee,dc=com objectClass: organizationalRole objectClass: top cn: sysadmin roleOccupant: uid=admin,ou=users,ou=global,dc=apigee,dc=com roleOccupant: uid=2a0056b4-5c62-49de-8fb3-925ch67a3e45,ou=users,ou=global,dc=apigee,dc=com
- Tạo một tệp mới có tên
ppchange.ldif
rồi thêm nội dung sau vào tệp đó (thay thế dn của người dùng sysadmin của bạn):dn: uid=new-sysadmin-uid,ou=users,ou=global,dc=apigee,dc=com changetype: modify add: pwdPolicySubentry pwdPolicySubentry: cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
- Sửa đổi người dùng bằng cách nhập lệnh sau:
ldapmodify -x -w "$ldappassword" -D "cn=manager,dc=apigee,dc=com" -H ldap://localhost:10389 -f ppchange.ldif
- Xác minh thay đổi bằng lệnh tìm kiếm
ldap
:ldapsearch -x -W -D "cn=manager,dc=apigee,dc=com" -H "ldap://:10389" -b "uid=new-sysadmin-uid,ou=users,ou=global,dc=apigee,dc=com" -s base -LLL pwdPolicySubentry
Kết quả sẽ cho thấy việc bổ sung
pwdPolicySubentry
:dn: uid=new-admin-uid,ou=users,ou=global,dc=apigee,dc=com pwdPolicySubentry: cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
- Lặp lại bước 2 đến bước 4 cho từng quản trị viên hệ thống.
Thuộc tính chính sách mật khẩu LDAP mặc định
Thuộc tính | Nội dung mô tả | Mặc định |
---|---|---|
pwdExpireWarning |
Số giây tối đa trước khi một mật khẩu hết hạn để hệ thống trả về thông báo cảnh báo hết hạn cho người dùng đang xác thực thư mục. |
604800 (Tương đương 7 ngày) |
pwdFailureCountInterval |
Số giây mà các lần liên kết cũ liên tiếp không thành công sẽ được xoá khỏi bộ đếm lỗi. Nói cách khác, đây là số giây mà sau đó tổng số lần đăng nhập không thành công liên tiếp được đặt lại. Nếu bạn đặt Nếu bạn đặt Bạn nên đặt thuộc tính này cùng một giá trị với thuộc tính |
300 |
pwdInHistory |
Số lượng mật khẩu tối đa đã sử dụng hoặc trước đây của một người dùng sẽ được lưu trữ trong thuộc tính Khi thay đổi mật khẩu, người dùng sẽ không thể đổi mật khẩu đó thành bất kỳ mật khẩu nào trước đây. |
3 |
pwdLockout |
Nếu là |
Sai |
pwdLockoutDuration |
Số giây không thể sử dụng mật khẩu để xác thực người dùng do có quá nhiều lần đăng nhập không thành công liên tiếp. Nói cách khác, đây là khoảng thời gian mà một tài khoản người dùng vẫn bị khoá do vượt quá số lần đăng nhập không thành công liên tiếp do thuộc tính Nếu bạn đặt Hãy xem bài viết Mở khoá tài khoản người dùng. Nếu bạn đặt Bạn nên đặt thuộc tính này cùng một giá trị với thuộc tính |
300 |
pwdMaxAge |
Số giây mà mật khẩu của người dùng (không phải quản trị viên hệ thống) hết hạn sau đó. Giá trị 0 có nghĩa là mật khẩu không hết hạn. Giá trị mặc định là 2592000 tương ứng với 30 ngày kể từ thời điểm mật khẩu được tạo. |
người dùng: 2592000 quản trị viên hệ thống: 0 |
pwdMaxFailure |
Số lần đăng nhập không thành công liên tiếp mà sau đó không thể sử dụng mật khẩu để xác thực người dùng vào thư mục. |
3 |
pwdMinLength |
Chỉ định số lượng ký tự tối thiểu cần có khi đặt mật khẩu. |
8 |
Mở khóa tài khoản người dùng
Tài khoản của người dùng có thể bị khoá do các thuộc tính được thiết lập trong chính sách mật khẩu. Người dùng được chỉ định vai trò Apigee sysadmin có thể dùng lệnh gọi API sau đây để mở khoá tài khoản của người dùng. Thay thế userEmail, adminEmail và password bằng các giá trị thực tế.
Cách mở khoá một người dùng:
/v1/users/userEmail/status?action=unlock -X POST -u adminEmail:password