Cómo administrar la política de contraseñas LDAP predeterminada para la administración de API

El sistema de Apigee usa OpenLDAP para autenticar a los usuarios en tu entorno de administración de APIs. OpenLDAP hace que esta funcionalidad de la política de contraseñas de LDAP esté disponible.

En esta sección, se describe cómo configurar la política de contraseñas de LDAP predeterminada proporcionada. Usa esta política de contraseñas para configurar varias opciones de autenticación de contraseñas, como la cantidad de intentos de acceso consecutivos fallidos después de los cuales ya no se puede usar una contraseña para autenticar a un usuario en el directorio.

En esta sección, también se describe cómo usar un par de APIs para desbloquear cuentas de usuario que se bloquearon según los atributos configurados en la política de contraseña predeterminada.

Para obtener información adicional, consulta:

Cómo configurar la política de contraseñas predeterminada de LDAP

Para configurar la política de contraseñas de LDAP predeterminada, sigue estos pasos:

  1. Conéctate a tu servidor LDAP con un cliente LDAP, como Apache Studio o ldapmodify. De forma predeterminada, el servidor OpenLDAP escucha en el puerto 10389 en el nodo OpenLDAP.

    Para conectarte, especifica el DN de Bind o el usuario de cn=manager,dc=apigee,dc=com y el Contraseña de OpenLDAP que configuraste en el momento de la instalación de Edge.

  2. Usa el cliente para navegar a los atributos de la política de contraseñas de lo siguiente:
    • Usuarios de Edge: cn=default,ou=pwpolicies,dc=apigee,dc=com
    • Administrador del sistema de Edge: cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
  3. Edita los valores del atributo de la política de contraseñas como desees.
  4. Guarde la configuración.

Atributos predeterminados de la política de contraseñas de LDAP

Atributo Descripción Predeterminada 
pwdExpireWarning
 Es la cantidad máxima de segundos antes de que venza una contraseña que se mostrarán los mensajes de advertencia de vencimiento a un usuario que se autentica en el directorio.

604800

(Equivalente a 7 días)

 
pwdFailureCountInterval

Cantidad de segundos después de los cuales se borran definitivamente los intentos de vinculación fallidos consecutivos del contador de fallas.

En otras palabras, esta es la cantidad de segundos después de los cuales se restablece el recuento de intentos de acceso fallidos consecutivos.

Si pwdFailureCountInterval se establece en 0, solo una autenticación exitosa puede restablecer el contador.

Si pwdFailureCountInterval se establece en >0, el atributo define una duración después de la cual el recuento de intentos de acceso consecutivos fallidos se restablece automáticamente, incluso si no se produjo una autenticación correcta.

Sugerimos que este atributo tenga el mismo valor que el atributo pwdLockoutDuration.

 300 
pwdInHistory

Es la cantidad máxima de contraseñas usadas o anteriores de un usuario que se almacenarán en el atributo pwdHistory.

Si el usuario cambia su contraseña, no podrá cambiarla por ninguna de sus contraseñas anteriores.

 3 
pwdLockout

Si es TRUE, especifica que se bloquee un usuario cuando venza su contraseña para que ya no pueda acceder.

 Falso 
pwdLockoutDuration

Cantidad de segundos durante los cuales no se puede usar una contraseña para autenticar al usuario demasiados intentos de acceso fallidos consecutivos.

En otras palabras, es el tiempo durante el cual una cuenta de usuario permanecerá bloqueada debido a que se superó la cantidad de intentos de acceso consecutivos fallidos establecidos por el atributo pwdMaxFailure.

Si pwdLockoutDuration se establece en 0, la cuenta de usuario permanecerá bloqueada hasta que un administrador del sistema la desbloquee.

Consulta Cómo desbloquear una cuenta de usuario.

Si pwdLockoutDuration está configurado como >0, el atributo define una duración durante la cual la cuenta de usuario permanecerá bloqueada. Una vez transcurrido este período, la cuenta de usuario se desbloqueado.

Te sugerimos que este atributo se establezca en el mismo valor que el atributo pwdFailureCountInterval.

 300 
pwdMaxAge

Es la cantidad de segundos después de los cuales vence la contraseña de un usuario (que no es administrador del sistema). Un valor de 0 significa que las contraseñas no vencen. El valor predeterminado de 2592000 corresponde a 30 días a partir del momento en que se creó la contraseña.

user: 2592000

administrador del sistema: 0

 
pwdMaxFailure

Es la cantidad de intentos de acceso fallidos consecutivos después de los cuales es posible que no se pueda usar una contraseña para autenticar a un usuario en el directorio.

 3 
pwdMinLength

Especifica la cantidad mínima de caracteres requeridos para configurar una contraseña.

 8

Cómo desbloquear una cuenta de usuario

La cuenta de un usuario puede estar bloqueada debido a los atributos establecidos en la política de contraseñas. Un usuario con el rol de administrador de sistemas de Apigee asignado puede usar la siguiente llamada a la API para desbloquear su cuenta. Reemplaza userEmail, adminEmail y password por valores reales.

Para desbloquear a un usuario, haz lo siguiente:

/v1/users/userEmail/status?action=unlock -X POST -u adminEmail:password