Standardmäßige LDAP-Passwortrichtlinie für die API-Verwaltung

Das Apigee-System verwendet OpenLDAP, um Nutzer in Ihrer API-Verwaltungsumgebung zu authentifizieren. OpenLDAP stellt diese LDAP-Passwortrichtlinienfunktion zur Verfügung.

In diesem Abschnitt wird beschrieben, wie Sie die standardmäßige LDAP-Passwortrichtlinie konfigurieren. Mit dieser Passwortrichtlinie können Sie verschiedene Optionen für die Passwortauthentifizierung konfigurieren, z. B. die Anzahl der aufeinanderfolgenden fehlgeschlagenen Anmeldeversuche, nach denen ein Passwort nicht mehr zur Authentifizierung eines Nutzers im Verzeichnis verwendet werden kann.

In diesem Abschnitt wird auch beschrieben, wie Sie mit einigen APIs Nutzerkonten entsperren, die gemäß den in der Standardpasswortrichtlinie konfigurierten Attributen gesperrt wurden.

Weitere Informationen finden Sie unter:

Standard-LDAP-Passwortrichtlinie konfigurieren

So konfigurieren Sie die Standard-LDAP-Passwortrichtlinie:

  1. Stellen Sie über einen LDAP-Client wie Apache Studio oder ldapmodify eine Verbindung zu Ihrem LDAP-Server her. Standardmäßig überwacht der OpenLDAP-Server den Port 10389 auf dem OpenLDAP-Knoten.

    Geben Sie für die Verbindung den Bind-DN oder Nutzer von cn=manager,dc=apigee,dc=com und das OpenLDAP-Passwort an, das Sie bei der Edge-Installation festgelegt haben.

  2. Verwenden Sie den Client, um die Passwortrichtlinienattribute für Folgendes aufzurufen:
    • Edge-Nutzer: cn=default,ou=pwpolicies,dc=apigee,dc=com
    • Edge-Sysadmin: cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
  3. Bearbeiten Sie die Attributwerte der Passwortrichtlinie nach Bedarf.
  4. Speichern Sie die Konfiguration.

Standardattribute der LDAP-Passwortrichtlinie

Attribut Beschreibung Standard 
pwdExpireWarning
 Die maximale Anzahl von Sekunden vor dem Ablauf eines Passworts, ab der Warnmeldungen zum Ablauf an einen Nutzer zurückgegeben werden, der sich beim Verzeichnis authentifiziert.

604800

(entspricht 7 Tagen)

 
pwdFailureCountInterval

Anzahl der Sekunden, nach denen alte aufeinanderfolgende fehlgeschlagene Bindungsversuche aus dem Fehlerzähler gelöscht werden.

Mit anderen Worten: Dies ist die Anzahl der Sekunden, nach denen die Anzahl der aufeinanderfolgenden fehlgeschlagenen Anmeldeversuche zurückgesetzt wird.

Wenn pwdFailureCountInterval auf 0 gesetzt ist, kann der Zähler nur durch eine erfolgreiche Authentifizierung zurückgesetzt werden.

Wenn pwdFailureCountInterval auf >0 gesetzt ist, definiert das Attribut eine Dauer, nach der die Anzahl der aufeinanderfolgenden fehlgeschlagenen Anmeldeversuche automatisch zurückgesetzt wird, auch wenn keine erfolgreiche Authentifizierung stattgefunden hat.

Wir empfehlen, dieses Attribut auf denselben Wert wie das Attribut pwdLockoutDuration festzulegen.

 300 
pwdInHistory

Maximale Anzahl der verwendeten oder früheren Passwörter für einen Nutzer, die im Attribut pwdHistory gespeichert werden.

Wenn die Nutzerin ihr Passwort ändert, kann sie es nicht in eines ihrer früheren Passwörter ändern.

 3 
pwdLockout

Wenn TRUE, wird ein Nutzer gesperrt, wenn sein Passwort abläuft, sodass er sich nicht mehr anmelden kann.

 Falsch 
pwdLockoutDuration

Anzahl der Sekunden, in denen ein Passwort aufgrund zu vieler aufeinanderfolgender fehlgeschlagener Anmeldeversuche nicht zur Authentifizierung des Nutzers verwendet werden kann.

Mit anderen Worten: Dies ist die Zeitspanne, für die ein Nutzerkonto gesperrt bleibt, weil die Anzahl der aufeinanderfolgenden fehlgeschlagenen Anmeldeversuche, die durch das Attribut pwdMaxFailure festgelegt wurde, überschritten wurde.

Wenn pwdLockoutDuration auf 0 gesetzt ist, bleibt das Nutzerkonto gesperrt, bis ein Systemadministrator es entsperrt.

Weitere Informationen finden Sie unter Nutzerkonto entsperren.

Wenn pwdLockoutDuration auf >0 festgelegt ist, definiert das Attribut die Dauer, für die das Nutzerkonto gesperrt bleibt. Nach Ablauf dieses Zeitraums wird das Nutzerkonto automatisch entsperrt.

Wir empfehlen, dieses Attribut auf denselben Wert wie das Attribut pwdFailureCountInterval festzulegen.

 300 
pwdMaxAge

Anzahl der Sekunden, nach denen das Passwort eines Nutzers (kein Systemadministrator) abläuft. Der Wert 0 bedeutet, dass Passwörter nicht ablaufen. Der Standardwert von 2592000 entspricht 30 Tagen ab dem Zeitpunkt, an dem das Passwort erstellt wurde.

user: 2592000

sysadmin: 0

 
pwdMaxFailure

Anzahl der aufeinanderfolgenden fehlgeschlagenen Anmeldeversuche, nach denen ein Passwort nicht mehr zur Authentifizierung eines Nutzers im Verzeichnis verwendet werden kann.

 3 
pwdMinLength

Gibt die Mindestanzahl an Zeichen an, die beim Festlegen eines Passworts erforderlich sind.

 8

Nutzerkonto entsperren

Das Konto eines Nutzers kann aufgrund von Attributen, die in der Passwortrichtlinie festgelegt sind, gesperrt werden. Ein Nutzer mit der Apigee-Rolle „sysadmin“ kann das Konto des Nutzers mit dem folgenden API-Aufruf entsperren. Ersetzen Sie userEmail, adminEmail und password durch tatsächliche Werte.

So entsperren Sie einen Nutzer:

/v1/users/userEmail/status?action=unlock -X POST -u adminEmail:password