7.6. 암호 정책 설계

Directory Server는 세분화된 암호 정책을 지원합니다. 즉 디렉터리 서버는 디렉터리 트리의 모든 지점에서 암호 정책을 정의합니다. Directory Server는 다음 수준에서 암호 정책을 정의합니다.

기본적으로 Directory Server에는 글로벌 암호 정책과 관련된 항목 및 속성이 포함되어 있습니다. 즉, 모든 사용자에게 동일한 정책이 적용됩니다. 하위 트리 또는 사용자에 대한 암호 정책을 설정하려면 하위 트리 또는 사용자 수준에서 추가 항목을 추가하고 cn=config 항목의 nsslapd-pwpolicy-local 속성을 활성화합니다. 이 속성은 스위치 역할을 하며, / off의 암호 정책을 세밀하게 설정합니다.

명령줄 또는 웹 콘솔을 사용하여 암호 정책을 변경할 수 있습니다. 명령줄에서 dsconf pwpolicy 명령은 글로벌 정책을 변경하고 dsconf localpwp 명령은 로컬 정책을 변경합니다. 암호 정책 구성 섹션에서 암호 정책을 설정하는 절차를 확인할 수 있습니다.

사용자가 디렉터리에 바인딩하려고 하면 Directory Server에서 사용자 항목에 대해 로컬 정책이 정의되고 활성화되어 있는지 여부를 결정합니다. Directory Server는 다음 순서로 정책 설정을 확인합니다.

요청을 바인딩하는 것 외에도 userPassword 속성이 요청에 있는 경우 추가 및 수정 작업 중에 암호 정책 확인이 수행됩니다.

userPassword 값을 수정하면 다음 두 가지 암호 정책 설정이 있는지 확인합니다.

userPassword 값을 추가하고 수정하면 모두 암호 구문에 대해 설정된 암호 정책을 확인합니다.

서버의 암호 정책을 생성하는 데 사용할 수 있는 특성에 대해 알아봅니다. Directory Server는 cn=config 항목에 암호 정책 속성을 저장하고 dsconf 유틸리티를 사용하여 이러한 설정을 변경할 수 있습니다.

Directory Server에는 로그인 시도를 계산하고 로그인 시도가 제한에 도달할 때 계정을 잠그는 두 가지 방법이 있습니다.

예를 들어 실패 제한이 세 번 시도한 경우 세 번째 실패 시도 (n ) 또는 네 번째 실패 시도 (n+1)에서 계정을 잠글 수 있습니다. n+1 동작은 LDAP 서버의 이전 동작이므로 기존 동작으로 간주됩니다. 최신 LDAP 클라이언트는 더 엄격한 하드 제한을 기대합니다. 기본적으로 Directory Server는 strict 제한(n)을 사용하지만 passwordLegacyPolicy 구성 매개변수에서 레거시 동작을 변경할 수 있습니다.

암호 정책에 대해 이 설정을 구성하는 경우 사용자 정의 암호가 비활성화된 경우에도 암호를 변경해야 합니다. 암호 정책에 필요하지 않거나 사용자가 암호 변경을 허용하지 않는 경우 관리자가 할당한 암호는 명확한 규칙을 따르지 않아야 하며 검색하기 어려울 수 있습니다.

기본 설정에서는 사용자가 암호를 재설정한 후 변경할 필요가 없습니다.

사용자에 대한 관리자의 암호 설정에는 다음과 같은 단점이 있습니다.

기본적으로 사용자 정의 암호는 허용됩니다.

기본적으로 사용자 암호는 만료되지 않습니다.

사용자가 서버에 바인딩되면 Directory Server가 경고를 표시합니다. 암호 만료가 활성화된 경우 기본적으로 디렉터리 서버는 사용자 암호가 만료되기 직전에 LDAP 메시지를 사용하여 사용자에게 경고를 보냅니다. 사용자 클라이언트 애플리케이션에서 이 기능을 지원해야 합니다.

암호 만료 경고에 대한 유효한 범위는 1일에서 2455일 사이입니다.

기본적으로 Directory Server는 유예 로그인을 허용하지 않습니다.

기본 암호 구문에는 최소 8자의 암호 길이가 필요하며 암호에는 간단한 단어가 사용되지 않습니다. 간단한 단어는 사용자 항목의 uid,cn,sn,givenName,ou 또는 mailattributes 에 저장된 모든 값입니다.

또한 다른 암호 구문 적용 양식을 사용하여 암호 구문에 대한 다양한 선택적 카테고리를 제공할 수 있습니다.

구문 카테고리가 많을수록 암호가 강화됩니다.

기본적으로 암호 구문 검사는 비활성화되어 있습니다.

기본적으로 서버에는 최소 암호 길이가 없습니다.

passwordMinAge 속성에 유효한 값 범위는 0에서 24855일 사이입니다. 값0(0)은 사용자가 암호를 즉시 변경할 수 있음을 나타냅니다.

암호 기록이 꺼져 있어도 암호는 기록에 남아 있습니다. 암호 기록이 다시 켜지면 암호 기록을 비활성화하기 전에 사용자가 기록에 있는 암호를 재사용할 수 없습니다.

서버는 기본적으로 암호 기록을 유지하지 않습니다.

기본적으로 서버는 암호를 마지막으로 변경한 시간을 저장하지 않습니다.

Directory Server는 다음과 같이 복제된 환경에서 암호 및 계정 잠금 정책을 적용합니다.

Directory Server는 암호 사용, 계정 잠금 카운터 및 만료 경고 카운터와 같은 디렉터리에 암호 정책 정보를 복제합니다. 그러나 Directory Server는 암호 구문 및 암호 변경 기록과 같은 구성 정보를 복제하지 않습니다. Directory Server는 이 정보를 로컬에 저장합니다.

복제된 환경에서 암호 정책을 구성할 때 다음 사항을 고려하십시오.