2.5. 配置基于密码的帐户锁定策略

验证

1. 显示 passwordmaxfailure 设置的值：

   # dsconf <instance_name> pwpolicy get passwordmaxfailure
   passwordmaxfailure: 2

2. 尝试多次使用无效的密码绑定，超过 passwordmaxfailure 中设置的值：

   # ldapsearch -H ldap://server.example.com -D "uid=example,ou=People,dc=example,dc=com" -w <invalid-password> -b "dc=example,dc=com" -x
   ldap_bind: Invalid credentials (49)
   
   # ldapsearch -H ldap://server.example.com -D "uid=example,ou=People,dc=example,dc=com" -w <invalid-password> -b "dc=example,dc=com" -x
   ldap_bind: Invalid credentials (49)
   
   # ldapsearch -H ldap://server.example.com -D "uid=example,ou=People,dc=example,dc=com" -w <invalid-password> -b "dc=example,dc=com" -x
   ldap_bind: Constraint violation (19)
   	additional info: Exceed password retry limit. Please try later.

   禁用旧密码后，目录服务器会在第二次尝试后锁定帐户，并进一步尝试使用 ldap_bind: Constraint violation (19) ）错误。

流程

1. 可选：识别是否启用或禁用旧的密码策略：

   # dsconf <instance_name> config get passwordLegacyPolicy
   passwordLegacyPolicy: on

2. 启用密码锁定策略，并将最大故障数设置为 2：

   # dsconf <instance_name> pwpolicy set --pwdlockout on --pwdmaxfailures=2
   Successfully updated global password policy

   启用旧的密码策略后，Directory 服务器会在第三个尝试绑定失败后锁定帐户( --pwdmaxfailures 参数的值 + 1)。

   dsconf pwpolicy set 命令支持以下参数：

   • --pwdlockout ：启用或禁用帐户锁定功能。默认： off。

   • --pwdmaxfailures ：设置目录服务器锁定帐户前允许失败的绑定尝试的最大数量。默认： 3。

     请注意，如果启用了旧的密码策略设置，则此锁定会稍后尝试。默认： 3。

   • --pwdresetfailcount ：在 Directory 服务器重置用户条目中的 passwordRetryCount 属性前设置时间（以秒为单位）。默认： 600 秒(10 分钟)。
   • --pwdlockoutduration ：设置被锁定的帐户的时间（以秒为单位）。如果将-- pwdunlock 参数设置为 off，则此参数将被忽略。默认： 3600 秒(1 小时)。
   • --pwdunlock ：启用或禁用锁定的帐户是否应在一定时间后被解锁或保持禁用，直到管理员手动解锁它们为止。默认： 上的。

流程

1. 可选：识别是否启用或禁用旧的密码策略：

   # dsconf <instance_name> config get passwordLegacyPolicy
   passwordLegacyPolicy: on

   此设置在 web 控制台中不可用。

2. 导航到 Database Password Policies Global Policy Account Lockout。
3. 选择 Enable Account Lockout。

4. 配置锁定设置：

   • 失败的登录次数，即锁定帐户 ：设置目录服务器锁定帐户前允许的最大绑定尝试数。
   • time Until Failure Count: 设置目录服务器在 Directory 服务器在用户条目中重置 passwordRetryCount 属性前的时间（以秒为单位）。
   • 时间 Until Account Unlocked ：设置帐户的时间（以秒为单位）。如果您禁用 Do Not Lockout Account forever，则忽略此参数。
   • 不要锁定帐户：启用或禁用锁定 的帐户是否在一定时间后被解锁或保持禁用，直到管理员手动解锁它们为止。
5. 点 Save。