Политики пароля OpanLdap

Question

Я установил openldap версию 2.4.23 на windows xp и использовал apache DS в качестве клиента. Я могу аутентифицировать пользователей на клиентском сервере, который я настроил для тестирования.

Следующий шаг - включить политику паролей. Это то, что для меня стало немного туманным, и я надеюсь, что кто-то сможет мне помочь.

я добавил политик паролей также с помощью команды followin

ldapadd -x -c -f -D "сп = менеджер, dc = maxcrc, DC = ком" -w секретной

, но после того, как добавление политики паролей, как я могу их сделать.

В документации openldap говорится, что модуль политики паролей должен быть настроен с DN политики по умолчанию.

я добавил следующие строки в файле slapd.conf

# invokes password policies for this DIT only 
overlay ppolicy 
# Default ppolicy 
ppolicy_default "cn=passwordDefault,ou=policies,dc=maxcrc,dc=com" 

но почему-то не получает загружены, я уже провел больше много времени на это, но я не получаю правильное руководство для тоже самое.

Может ли кто-нибудь пролить свет на это простым, непрофессиональным термином?

Заранее спасибо.

Мой файл ldif выглядит следующим образом.

dn: cn=passwordDefault,ou=policies,dc=localdomain,dc=com 
objectClass: pwdPolicy 
objectClass: person 
objectClass: top 
cn: passwordDefault 
sn: passwordDefault 
pwdAttribute: userPassword 
pwdCheckQuality: 1 
pwdMinAge: 1 
pwdMaxAge: 90 
pwdMinLength: 6 
pwdInHistory: 4 
pwdMaxFailure: 3 
pwdFailureCountInterval: 0 
pwdLockout: TRUE 
pwdLockoutDuration: 0 
pwdAllowUserChange: TRUE 
pwdExpireWarning: 604800 
pwdGraceAuthNLimit: 3 
pwdMustChange: TRUE 
pwdSafeModify: TRUE 

После добавления этой политики и перезагрузки сервера я попытался изменить пароль существующих и новых пользователей. Сервер позволяет мне изменить пароль на строку длиной менее 6 , тогда как я упомянул pwdMinLength: 6 в ldif.

, а также я пытался сменить пароль более одного раза, но он позволяет мне сменить пароль на недавно использованный пароль, тогда как pwdInHistory: 4 в ldif.

Answer 1

Политика паролей не работает, если вы используете rootDN для выполнения обновлений. Вы должны использовать существующую учетную запись администратора или собственную учетную запись пользователя.

Answer 2

Непонятно, как вы устанавливаете пароль при тестировании, но я бы проверял, передаете ли вы пароль в правильном формате, что означает, что серверу необходимо получить пароль в открытом виде. Некоторые клиенты имели бы хэш значение перед отправкой значения на сервер OpenLDAP, и в этом случае серверу OpenLDAP было бы невозможно определить длину пароля. Связь может и должна быть зашифрована, но она не должна быть предварительно хеширована. Хэш может быть обработан сервером:

pwdCheckQuality

Если значение равно 1, и полученный пароль в открытом виде, то прилагаемые функции пользователя (определяются с помощью pwdCheckModule - если определенно - будет называться, чтобы проверить качество пароля. Если эта функция недоступна, пароль будет принят (при условии, что он передает все остальные тесты, определенные различными атрибутами pwdPolicy).

ссылка: http://www.zytrax.com/books/ldap/ch6/ppolicy.html