7.6. 设计密码策略

目录服务器支持精细的密码策略，这意味着 Directory 服务器在目录树中的任意点定义密码策略。目录服务器在以下级别上定义密码策略：

默认情况下，Directory 服务器包含与全局密码策略相关的条目和属性，这意味着将相同的策略应用于所有用户。要为子树或用户设置密码策略，请在子树或用户级别添加额外的条目，并启用 cn=config 条目的 nsslapd-pwpolicy-local 属性。此属性充当交换机，打开和关闭细粒度密码策略。

您可以使用命令行或 Web 控制台更改密码策略。在命令行中，dsconf pwpolicy 命令更改全局策略，dsconf localpwp 命令会更改本地策略。您可以在 配置密码策略部分找到 设置密码策略 的步骤。

当用户尝试绑定到目录时，Directory 服务器决定是否为用户条目定义并启用本地策略。目录服务器按以下顺序检查策略设置：

除了绑定请求外，如果请求中存在 userPassword 属性，则在添加和修改操作过程中也会进行密码策略检查。

修改 userPassword 的值会检查两个密码策略设置：

添加和修改 userPassword 的值会检查为密码语法设置的密码策略：

了解可用于为服务器创建密码策略的属性。目录服务器在 cn=config 条目中保存密码策略属性，您可以使用 dsconf 实用程序更改这些设置。

当登录尝试达到限制时，目录服务器有两种方法来计数登录尝试并锁定帐户：

例如，如果失败限制是三次尝试，可以在第三个失败尝试时锁定帐户(n)，或者在第四次失败尝试时锁定(n+1)。n+1 行为是 LDAP 服务器的历史行为，因此被视为传统行为。较新的 LDAP 客户端预期有一个更严格的硬限制。默认情况下，Directory 服务器使用严格的限制(n)，但您可以在 passwordLegacyPolicy 配置参数中更改旧的行为。

如果您为密码策略配置此设置，则即使禁用了用户定义的密码，用户需要更改密码。如果密码策略不需要或者不允许用户更改密码，则管理员分配的密码不应遵循任何明显的惯例，应该很难发现。

默认配置不需要用户在重置后更改密码。

为用户设置密码有以下缺陷：

默认情况下，允许用户定义的密码。

默认情况下，用户密码永不过期。

当用户绑定到服务器时，目录服务器会显示警告。如果启用了密码过期，默认情况下，Directory 服务器通过使用 LDAP 消息向用户发送警告信息，在用户密码过期前一天。用户客户端应用应支持此功能。

密码过期警告的有效范围为从一到 24,855 天。

默认情况下，Directory 服务器不允许宽限期。

默认密码语法要求最小密码长度为八个字符，且密码中没有使用任何普通词语。微小的词语是存储在 uid,cn,sn,givenName,ou, 或 mailattributes 中的任何值。

另外，您可以使用其他形式的密码语法强制，为密码语法提供不同的可选类别：

需要的更多语法类别，其密码越高。

默认情况下禁用密码语法检查。

默认情况下，服务器没有最小密码长度。

passwordMinAge 属性的值的有效范围从零到 24 855 天。值为零(0)表示用户可以立即更改密码。

即使密码历史记录关闭，密码也会停留在历史记录中。如果重新打开密码历史记录，用户无法在禁用密码历史记录前重复使用历史记录中的密码。

默认情况下，服务器不会维护密码历史记录。

默认情况下，服务器不会存储上次更改时间的密码。

目录服务器在复制环境中强制使用密码和帐户锁定策略，如下所示：

目录服务器在目录中复制密码策略信息，如密码年龄、帐户锁定计数器和过期警告计数器。但是，目录服务器不会复制配置信息，如密码语法和密码修改的历史记录。目录服务器在本地存储此信息。

在复制环境中配置密码策略时，请考虑以下点：