Zarządzanie domyślną zasadą dotyczącą haseł na potrzeby zarządzania interfejsami API

System Apigee używa OpenLDAP do uwierzytelniania użytkowników w środowisku zarządzania interfejsami API. OpenLDAP udostępnia tę funkcję zasad dotyczących haseł LDAP.

Z tej sekcji dowiesz się, jak skonfigurować domyślną regułę hasła LDAP. Za pomocą tej zasady dotyczącej haseł możesz skonfigurować różne opcje uwierzytelniania za pomocą hasła, takie jak liczba kolejnych nieudanych prób zalogowania, po której nie można już używać hasła do uwierzytelniania użytkownika w katalogu.

W tej sekcji opisujemy też, jak przy użyciu interfejsów API odblokowywać konta użytkowników, które zostały jest zablokowana zgodnie z atrybutami skonfigurowanymi w domyślnych zasadach dotyczących haseł.

Więcej informacji:

Konfigurowanie domyślnej zasady dotyczącej hasła LDAP

Aby skonfigurować domyślną zasadę dotyczącą haseł LDAP:

  1. Połącz się z serwerem LDAP przy użyciu klienta LDAP, takiego jak Apache Studio lub ldapmodify. Według domyślny serwer OpenLDAP nasłuchuje na porcie 10389 w węźle OpenLDAP.

    Aby nawiązać połączenie, podaj nazwę wyróżniającą (DN) lub użytkownika domeny cn=manager,dc=apigee,dc=com oraz Hasło OpenLDAP ustawione podczas instalacji Edge.

  2. Za pomocą klienta przejdź do atrybutów zasad dotyczących haseł dla:
    • Użytkownicy Edge: cn=default,ou=pwpolicies,dc=apigee,dc=com
    • Administrator systemu Edge: cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
  3. W razie potrzeby zmień wartości atrybutów zasad dotyczących haseł.
  4. Zapisz konfigurację.

Domyślne atrybuty zasad LDAP dotyczących haseł

Atrybut Opis Domyślny 
pwdExpireWarning
 Maksymalny czas wygaśnięcia hasła w sekundach użytkownikom, którzy uwierzytelniają się w katalogu, zwracane są komunikaty ostrzegawcze.

604800

(Odpowiednik 7 dni).

 
pwdFailureCountInterval

Liczba sekund, po których stare nieudane próby połączenia są usuwane z licznika niepowodzeń.

Innymi słowy, jest to liczba sekund, po których następuje liczba kolejnych nieudane próby logowania są resetowane.

Jeśli pwdFailureCountInterval ma wartość 0, licznik będzie można zresetować tylko pomyślnie po pomyślnym uwierzytelnieniu.

Jeśli wartość atrybutu pwdFailureCountInterval wynosi >0, atrybut ten określa czas, po którym liczba kolejnych nieudanych prób logowania jest automatycznie resetowana, nawet jeśli nie doszło do uwierzytelnienia.

Zalecamy, aby ten atrybut miał taką samą wartość jak atrybut pwdLockoutDuration.

 300 
pwdInHistory

Maksymalna liczba używanych lub wcześniejszych haseł użytkownika, które będą przechowywane w pwdHistory.

Gdy użytkownik zmieni swoje hasło, nie będzie mógł go zmienić na dowolne swoje wcześniejszych haseł.

 3 
pwdLockout

Jeśli TRUE, określa Blokuj użytkownika po wygaśnięciu jego hasła, aby nie mógł się zalogować.

 Fałsz 
pwdLockoutDuration

Liczba sekund, przez które nie można było użyć hasła do uwierzytelnienia użytkownika. zbyt wiele kolejnych nieudanych prób logowania.

Inaczej mówiąc, jest to czas, przez który konto użytkownika będzie zablokowane z powodu przekroczenia liczby kolejnych nieudanych prób logowania ustawionej przez atrybut pwdMaxFailure.

Jeśli wartość pwdLockoutDuration jest równa 0, konto użytkownika pozostanie zablokowane, dopóki administrator systemu go nie odblokuje.

Zobacz Odblokowanie konta użytkownika.

Jeśli wartość atrybutu pwdLockoutDuration jest większa niż 0, atrybut określa czas, przez jaki konto użytkownika będzie zablokowane. Po upływie tego czasu konto użytkownika zostanie automatycznie odblokowane.

Zalecamy, aby ten atrybut miał taką samą wartość jak atrybut pwdFailureCountInterval.

 300 
pwdMaxAge

Liczba sekund, po której hasło użytkownika (nie administratora) wygasa. Wartość 0 oznacza, że hasła nie wygasają. Wartość domyślna (2592 000) odpowiada 30 dniom od podczas tworzenia hasła.

user: 2592000

sysadmin: 0

 
pwdMaxFailure

Liczba kolejnych nieudanych prób logowania, po których hasło nie może być użyte do uwierzytelnienia użytkownika w katalogu.

 3 
pwdMinLength

Określa minimalną liczbę znaków wymaganą podczas ustawiania hasła.

 8

Odblokowywanie konta użytkownika

Konto użytkownika może zostać zablokowane z powodu atrybutów ustawionych w zasadach dotyczących haseł. Użytkownik z przypisaną rolą sysadmin w Apigee może użyć tego wywołania interfejsu API, aby odblokować swoje konto. Zastąp wartości userEmail, adminEmail i password rzeczywistymi wartościami.

Aby odblokować użytkownika:

/v1/users/userEmail/status?action=unlock -X POST -u adminEmail:password