Quản lý chính sách mật khẩu LDAP mặc định để quản lý API

Hệ thống Apigee sử dụng OpenLDAP để xác thực người dùng trong môi trường quản lý API. OpenLDAP cung cấp chức năng chính sách mật khẩu LDAP này.

Phần này mô tả cách định cấu hình chính sách mật khẩu LDAP mặc định đã phân phối. Sử dụng chính sách mật khẩu này để định cấu hình nhiều tuỳ chọn xác thực mật khẩu, chẳng hạn như số lần đăng nhập không thành công liên tiếp sau đó mật khẩu không thể được dùng để xác thực người dùng vào thư mục nữa.

Phần này cũng mô tả cách sử dụng một số API để mở khoá tài khoản người dùng đã bị khoá theo các thuộc tính được định cấu hình trong chính sách mật khẩu mặc định.

Để biết thêm thông tin, hãy xem:

• Chính sách LDAP
• "Thông tin quan trọng về chính sách mật khẩu của bạn" trong Cộng đồng Apigee

Định cấu hình chính sách mật khẩu LDAP mặc định

Phần này giải thích cách định cấu hình chính sách mật khẩu LDAP mặc định cho:

• Người dùng Edge và quản trị viên hệ thống ban đầu
• Quản trị viên hệ thống bổ sung

Định cấu hình chính sách mật khẩu LDAP mặc định cho người dùng Edge và quản trị viên hệ thống ban đầu

Cách định cấu hình chính sách mật khẩu LDAP mặc định cho người dùng Edge và quản trị viên hệ thống ban đầu:

1. Kết nối với máy chủ LDAP bằng ứng dụng LDAP, chẳng hạn như Apache Studio hoặc ldapmodify. Theo mặc định, máy chủ OpenLDAP sẽ nghe trên cổng 10389 trên nút OpenLDAP.

   Để kết nối, hãy chỉ định DN liên kết hoặc người dùng của cn=manager,dc=apigee,dc=com và mật khẩu OpenLDAP mà bạn đã đặt tại thời điểm cài đặt Edge.

2. Sử dụng ứng dụng để chuyển đến các thuộc tính chính sách mật khẩu cho:
   • Người dùng Edge: cn=default,ou=pwpolicies,dc=apigee,dc=com
   • Quản trị viên hệ thống Edge ban đầu: cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
     Lưu ý: Để định cấu hình chính sách mật khẩu LDAP cho các quản trị viên hệ thống khác (ngoài quản trị viên hệ thống ban đầu), hãy xem phần Định cấu hình chính sách mật khẩu LDAP cho các quản trị viên hệ thống khác bên dưới.
3. Chỉnh sửa giá trị thuộc tính chính sách mật khẩu theo ý muốn.
4. Lưu cấu hình.

Định cấu hình chính sách mật khẩu LDAP cho các quản trị viên hệ thống khác

Khi bạn thêm người dùng quản trị viên hệ thống vào Edge, họ sẽ kế thừa chính sách mật khẩu mặc định, thay vì chính sách mật khẩu quản trị viên hệ thống của quản trị viên hệ thống ban đầu. Chính sách mật khẩu mặc định sẽ hết hạn sau một khoảng thời gian nhất định, trừ phi bạn định cấu hình khác. Để đặt chính sách mật khẩu cho người dùng quản trị hệ thống bổ sung để mật khẩu không hết hạn, hãy làm theo các bước sau:

1. Tìm dn tất cả quản trị viên hệ thống bằng cách chạy lệnh sau:

   ldapsearch -x -W -D "cn=manager,dc=apigee,dc=com" -H "ldap://:10389" -b "cn=sysadmin,ou=userroles,ou=global,dc=apigee,dc=com" -s base
    -LLL

   Kết quả cho biết người dùng quản trị viên hệ thống là roleOccupant:

   dn: cn=sysadmin,ou=userroles,ou=global,dc=apigee,dc=com
   objectClass: organizationalRole
   objectClass: top
   cn: sysadmin
   roleOccupant: uid=admin,ou=users,ou=global,dc=apigee,dc=com
   roleOccupant: uid=2a0056b4-5c62-49de-8fb3-925ch67a3e45,ou=users,ou=global,dc=apigee,dc=com

2. Tạo một tệp mới có tên ppchange.ldif và thêm nội dung sau vào tệp đó (thay thế dn của người dùng quản trị hệ thống của riêng bạn):

   dn: uid=new-sysadmin-uid,ou=users,ou=global,dc=apigee,dc=com
   changetype: modify
   add: pwdPolicySubentry
   pwdPolicySubentry: cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com

3. Sửa đổi người dùng bằng cách nhập lệnh sau:

   ldapmodify -x -w "$ldappassword" -D "cn=manager,dc=apigee,dc=com" -H ldap://localhost:10389 -f ppchange.ldif

4. Xác minh thay đổi bằng lệnh tìm kiếm ldap:

   ldapsearch -x -W -D "cn=manager,dc=apigee,dc=com" -H "ldap://:10389" -b "uid=new-sysadmin-uid,ou=users,ou=global,dc=apigee,dc=com" -s base -LLL pwdPolicySubentry

   Kết quả sẽ cho thấy việc thêm pwdPolicySubentry:

   dn: uid=new-admin-uid,ou=users,ou=global,dc=apigee,dc=com
   pwdPolicySubentry: cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com

5. Lặp lại các bước từ 2 đến 4 cho từng quản trị viên hệ thống.

Thuộc tính chính sách mật khẩu mặc định của LDAP

pwdExpireWarning

pwdFailureCountInterval

pwdInHistory

pwdLockout

pwdLockoutDuration

pwdMaxAge

pwdMaxFailure

pwdMinLength

Mở khoá tài khoản người dùng

Tài khoản của người dùng có thể bị khoá do các thuộc tính được đặt trong chính sách mật khẩu. Người dùng được chỉ định vai trò Apigee quản trị viên hệ thống có thể sử dụng lệnh gọi API sau đây để mở khoá tài khoản của người dùng đó. Thay thế userEmail, adminEmail và password bằng các giá trị thực tế.

Cách mở khoá người dùng:

/v1/users/userEmail/status?action=unlock -X POST -u adminEmail:password