管理 API 管理的預設 LDAP 密碼政策

Apigee 系統會使用 OpenLDAP 在您的 API 管理環境中驗證使用者。 OpenLDAP 提供這項 LDAP 密碼政策功能。

本節說明如何設定已提供的預設 LDAP 密碼政策。您可以使用這項密碼政策設定各種密碼驗證選項，例如連續輸入錯誤密碼的次數上限，超過此上限後，系統就無法再使用密碼驗證目錄使用者。

本節也會說明如何透過幾個 API 解鎖目前已啟用的使用者帳戶 已根據預設密碼政策設定的屬性鎖定。

若需更多資訊，請參閱：

設定預設 LDAP 密碼政策

如要設定預設 LDAP 密碼政策，請按照下列步驟操作：

  1. 使用 LDAP 用戶端 (例如 Apache Studio 或 ldapmodify) 連線至 LDAP 伺服器。根據預設，OpenLDAP 伺服器會監聽 OpenLDAP 節點上的通訊埠 10389。

    如要進行連線，請指定 cn=manager,dc=apigee,dc=com 的 Bind DN 或使用者，以及 您在安裝 Edge 時設定的 OpenLDAP 密碼。

  2. 使用用戶端前往下列項目的密碼政策屬性：
    • Edge 使用者：cn=default,ou=pwpolicies,dc=apigee,dc=com
    • Edge 系統管理員：cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
  3. 視需要編輯密碼政策屬性值。
  4. 儲存設定。

預設 LDAP 密碼政策屬性

屬性 說明 預設 
pwdExpireWarning
 密碼到期前的秒數上限 驗證至目錄的使用者將傳回警告訊息。

604800

(相當於 7 天)

 
pwdFailureCountInterval

連續失敗的繫結嘗試次數達到這個秒數後，系統就會從失敗計數器中清除這些嘗試。

換句話說，這是連續失敗的登入嘗試次數重設後的秒數。

如果 pwdFailureCountInterval 設為 0，只有成功驗證才能重設計數器。

如果 pwdFailureCountInterval 設為 >0，此屬性會定義一段時間，在該時間過後，即使未成功驗證，連續登入失敗的次數也會自動重設。

建議您將此屬性設為與 pwdLockoutDuration 屬性相同的值。

 300 
pwdInHistory

可將使用者密碼儲存在 pwdHistory 屬性。

使用者變更密碼後，就無法將密碼變更為自己的密碼 。

 3 
pwdLockout

如果是 TRUE，請指定 在密碼過期時鎖定使用者，防止使用者登入。

 否 
pwdLockoutDuration

因規定而無法使用密碼驗證使用者的秒數 連續登入失敗次數過多。

換句話說，如果使用者帳戶連續登入失敗的次數超過 pwdMaxFailure 屬性所設定的值，系統就會將帳戶鎖定一段時間。

如果將 pwdLockoutDuration 設為 0，使用者帳戶將維持鎖定狀態 直到系統管理員解鎖裝置為止

請參閱解鎖使用者帳戶。

如果pwdLockoutDuration 設為 >0，屬性會定義使用者帳戶維持不變的時間 已鎖定。時間到期後，系統會自動解鎖使用者帳戶。

建議您將此屬性設為與 pwdFailureCountInterval 屬性相同的值。

 300 
pwdMaxAge

使用者 (非系統管理員) 密碼過期後的秒數。值為 0 表示密碼不會過期。2592000 的預設值對應於 密碼的建立時間。

使用者：2592000

sysadmin：0

 
pwdMaxFailure

連續登入失敗的次數，超過此數量後，密碼可能無法用於驗證目錄中的使用者。

 3 
pwdMinLength

指定設定密碼時的字元數下限。

 8

解鎖使用者帳戶

使用者帳戶可能會因為密碼政策中設定的屬性而遭到鎖定。已指派 sysadmin Apigee 角色的使用者，可以使用下列 API 呼叫來解鎖使用者帳戶。將 userEmail、adminEmail 和 password 替換為實際值 輕鬆分配獎金

如何解鎖使用者：

/v1/users/userEmail/status?action=unlock -X POST -u adminEmail:password