การจัดการนโยบายรหัสผ่าน LDAP เริ่มต้นสําหรับการจัดการ API

ระบบ Apigee ใช้ OpenLDAP เพื่อตรวจสอบสิทธิ์ผู้ใช้ในสภาพแวดล้อมการจัดการ API OpenLDAP ทำให้ฟังก์ชันการทำงานของนโยบายรหัสผ่าน LDAP นี้พร้อมใช้งาน

ส่วนนี้จะอธิบายวิธีกำหนดค่านโยบายรหัสผ่าน LDAP เริ่มต้นที่ส่งให้ ใช้ร่างคำตอบนี้ นโยบายรหัสผ่านเพื่อกำหนดค่าตัวเลือกการตรวจสอบสิทธิ์รหัสผ่านต่างๆ เช่น จำนวน ความพยายามเข้าสู่ระบบที่ล้มเหลวติดต่อกันหลังจากนั้นจะไม่สามารถใช้รหัสผ่านในการตรวจสอบสิทธิ์ ในไดเรกทอรี

หัวข้อนี้ยังอธิบายวิธีใช้ API 2-3 รายการเพื่อปลดล็อกบัญชีผู้ใช้ที่ ล็อกตามแอตทริบิวต์ที่กำหนดค่าไว้ในนโยบายรหัสผ่านเริ่มต้น

ดูข้อมูลเพิ่มเติมได้จากหัวข้อต่อไปนี้

การกำหนดค่านโยบายรหัสผ่านเริ่มต้นของ LDAP

วิธีกำหนดค่านโยบายรหัสผ่าน LDAP เริ่มต้น

  1. เชื่อมต่อกับเซิร์ฟเวอร์ LDAP โดยใช้ไคลเอ็นต์ LDAP เช่น Apache Studio หรือ LDAPmodify โดย เซิร์ฟเวอร์ OpenLDAP เริ่มต้นจะรอฟังพอร์ต 10389 บนโหนด OpenLDAP

    หากต้องการเชื่อมต่อ ให้ระบุ DN การเชื่อมโยงหรือผู้ใช้ของ cn=manager,dc=apigee,dc=com และรหัสผ่าน OpenLDAP ที่คุณตั้งไว้ขณะติดตั้ง Edge

  2. ใช้ไคลเอ็นต์เพื่อไปยังแอตทริบิวต์นโยบายรหัสผ่านสำหรับสิ่งต่อไปนี้
    • ผู้ใช้ Edge: cn=default,ou=pwpolicies,dc=apigee,dc=com
    • ผู้ดูแลระบบ Edge: cn=sysadmin,ou=pwpolicies,dc=apigee,dc=com
  3. แก้ไขค่าแอตทริบิวต์นโยบายรหัสผ่านได้ตามต้องการ
  4. บันทึกการกําหนดค่า

แอตทริบิวต์นโยบายรหัสผ่าน LDAP เริ่มต้น

แอตทริบิวต์ คำอธิบาย ค่าเริ่มต้น 
pwdExpireWarning
 จำนวนวินาทีสูงสุดก่อนที่รหัสผ่านจะหมดอายุ ซึ่งระบบจะแสดงข้อความเตือนการหมดอายุต่อผู้ใช้ที่ตรวจสอบสิทธิ์กับไดเรกทอรี

604800

(เทียบเท่ากับ 7 วัน)

 
pwdFailureCountInterval

จำนวนวินาทีหลังจากนั้นระบบจะล้างการพยายามเชื่อมโยงที่ไม่สำเร็จติดต่อกันเก่าๆ ออกจากตัวนับการล้มเหลว

กล่าวอีกนัยหนึ่งคือ ค่านี้คือจำนวนวินาทีหลังจากการนับของ ความพยายามเข้าสู่ระบบที่ไม่สำเร็จจะถูกรีเซ็ต

หากตั้งค่า pwdFailureCountInterval เป็น 0 มีเพียงการตรวจสอบสิทธิ์ที่สำเร็จเท่านั้นที่สามารถรีเซ็ตตัวนับได้

หากตั้งค่า pwdFailureCountInterval เป็น >0 แอตทริบิวต์กำหนดระยะเวลาหลังจากการเข้าสู่ระบบที่ไม่สำเร็จติดต่อกัน และจะรีเซ็ตโดยอัตโนมัติ แม้จะไม่มีการตรวจสอบสิทธิ์ที่สำเร็จก็ตาม

เราขอแนะนำให้ตั้งค่าแอตทริบิวต์นี้เป็นค่าเดียวกับแอตทริบิวต์ pwdLockoutDuration

 300 
pwdInHistory

จำนวนรหัสผ่านที่ใช้แล้ว หรือรหัสผ่านสูงสุดของผู้ใช้ ซึ่งจะจัดเก็บไว้ใน pwdHistory

เมื่อเปลี่ยนรหัสผ่าน ผู้ใช้จะถูกบล็อกไม่ให้เปลี่ยนรหัสผ่านเป็นรหัสผ่านที่เคยใช้

 3 
pwdLockout

หากเป็น TRUE ให้ระบุให้ล็อกผู้ใช้ออกเมื่อรหัสผ่านหมดอายุเพื่อให้ผู้ใช้เข้าสู่ระบบไม่ได้อีกต่อไป

 เท็จ 
pwdLockoutDuration

จำนวนวินาทีที่ไม่สามารถใช้รหัสผ่านเพื่อตรวจสอบสิทธิ์ผู้ใช้ได้เนื่องจากมีการพยายามเข้าสู่ระบบที่ไม่สำเร็จติดต่อกันหลายครั้งเกินไป

กล่าวคือ เป็นระยะเวลาที่บัญชีผู้ใช้จะยังคงอยู่ ล็อกเนื่องจากมีความพยายามเข้าสู่ระบบที่ล้มเหลวติดต่อกันเกินจำนวนครั้งที่กำหนดโดย pwdMaxFailure

หากตั้งค่า pwdLockoutDuration เป็น 0 บัญชีผู้ใช้จะยังคงล็อกไว้ จนกว่าผู้ดูแลระบบจะปลดล็อก

โปรดดูที่การปลดล็อกบัญชีผู้ใช้

หาก pwdLockoutDuration มีค่าเป็น >0 และแอตทริบิวต์จะกำหนดระยะเวลาที่บัญชีผู้ใช้จะยังคงอยู่ ล็อกอยู่ เมื่อพ้นระยะเวลานี้ ระบบจะปลดล็อกบัญชีผู้ใช้โดยอัตโนมัติ

เราขอแนะนำให้ตั้งค่าแอตทริบิวต์นี้เป็นค่าเดียวกับแอตทริบิวต์ pwdFailureCountInterval

 300 
pwdMaxAge

จำนวนวินาทีที่รหัสผ่านของผู้ใช้ (ไม่ใช่ผู้ดูแลระบบ) จะหมดอายุ ค่า 0 หมายความว่ารหัสผ่านไม่มีวันหมดอายุ ค่าเริ่มต้น 2592000 หมายถึง 30 วันนับจากเวลาที่สร้างรหัสผ่าน

user: 2592000

ผู้ดูแลระบบ: 0

 
pwdMaxFailure

จำนวนครั้งที่พยายามเข้าสู่ระบบติดต่อกันไม่สำเร็จ ซึ่งหลังจากนั้นระบบจะไม่ใช้รหัสผ่านเพื่อตรวจสอบสิทธิ์ผู้ใช้ในไดเรกทอรี

 3 
pwdMinLength

ระบุจำนวนอักขระขั้นต่ำที่ต้องใช้เมื่อตั้งค่ารหัสผ่าน

 8

การปลดล็อกบัญชีผู้ใช้

บัญชีของผู้ใช้อาจล็อกเนื่องจากแอตทริบิวต์ที่กำหนดไว้ในนโยบายรหัสผ่าน ผู้ใช้ที่มี บทบาท Apigee ของผู้ดูแลระบบที่ได้รับมอบหมายสามารถใช้การเรียก API ต่อไปนี้เพื่อปลดล็อก ของคุณได้ แทนที่ userEmail, adminEmail และ password ด้วยค่าจริง

วิธีปลดล็อกผู้ใช้

/v1/users/userEmail/status?action=unlock -X POST -u adminEmail:password