3.5. 配置密码策略

流程

1. 显示当前设置：

   # dsconf <instance_name> pwpolicy get
   Global Password Policy: cn=config
   ------------------------------------
   passwordstoragescheme: PBKDF2_SHA256
   passwordChange: on
   passwordMustChange: off
   passwordHistory: off
   passwordInHistory: 6
   ...

2. 调整密码策略设置。如需可用设置的完整列表，请输入：

   # dsconf <instance_name> pwpolicy set --help

   例如，要启用密码语法检查并将密码的最小长度设置为 12 个字符，请输入：

   # dsconf <instance_name> pwpolicy set --pwdchecksyntax on --pwdmintokenlen 12

3. 为密码策略启用帐户锁定功能：

   # dsconf <instance_name> pwpolicy set --pwdlockout on

流程

1. 打开 Database Password Policies Global Policy 菜单。

2. 设置全局密码策略设置。您可以在以下类别中设置参数：

   • 常规设置，如密码存储方案
   • 密码过期设置，如密码过期的时间
   • 帐户锁定设置，比如在应锁定帐户的登录尝试的次数后

   • 密码语法设置，如最小密码长度

     要显示参数的 cn=config 条目中的工具提示和对应的属性名称，请将鼠标光标悬停在设置上。

3. 点 Save。

流程

1. 验证子树或用户条目的本地密码策略是否已存在。例如：

   # dsconf <instance_name> localpwp get "ou=People,dc=example,dc=com"
   Enter password for cn=Directory Manager on ldap://server.example.com:
   Error: No password policy was found for this entry

   如果没有本地策略，请创建一个：

   • 创建 子树 密码策略：

     # dsconf <instance_name> localpwp addsubtree "ou=People,dc=example,dc=com"

   • 创建用户 密码策略：

     # dsconf <instance_name> localpwp adduser "uid=user_name,ou=People,dc=example,dc=com"

2. 设置本地策略属性。如需可用设置的完整列表，请输入：

   # dsconf <instance_name> localpwp set --help

   例如，要启用密码过期并将最长密码期限设置为 14 天(1209600 秒)：

   • 在 子树 密码策略中：

     # dsconf <instance_name> localpwp set --pwdexpire on --pwdmaxage 1209600 "ou=People,dc=example,dc=com"

   • 在 用户密码 策略中：

     # dsconf <instance_name> localpwp set --pwdexpire on --pwdmaxage 1209600 "uid=user_name,ou=People,dc=example,dc=com"

流程

1. 选择实例。
2. 打开 Database 菜单。
3. 在左侧列表中选择 密码策略 设置下的 Local Policies 。
4. 在 Local Password Policies 配置页面中，选择 Create A Policy 选项卡。
5. 在 Password Policy Type 字段中，选择 Subtree Policy 或 User Policy。
6. 在 Target DN 字段中，设置条目的可分辨名称(DN)以应用策略。

7. 设置本地策略属性。例如，要启用密码过期，请将最大密码期限设置为 14 天(1209600 秒)，并将最小密码长度设置为 10 个字符：

   1. 展开 Show Expiration Settings，选中 Enforce Password Expiration，并将 Password Expiration Time 设置为 1209600。
   2. 展开 Show Syntax Settings，选中启用密码语法检查，并将 Minimum Length 设置为 10。
8. 单击 Create New Policy。

流程

1. 选择实例。
2. 打开 Database 菜单。

3. 禁用所有本地策略或删除特定的本地策略：

   1. 禁用所有本地密码策略：

      1. 选择 Password Policies 下的 Global Policy 设置，并取消选中 Allow Local Password Policies。

      2. 点 Save 按钮应用配置。

         因此，Directory 服务器会将 cn=config 条目中的 nsslapd-pwpolicy-local 参数设置为 off。

   2. 要删除特定的本地策略，请在 密码策略下选择 Local Policies 设置，并使用 Options 菜单(&&)删除本地策略。

流程

1. 在 上将 passwordTrackUpdateTime 参数设置为 ：

   • 对于全局策略，请运行：

     # dsconf <instance_name> pwpolicy set --pwdtrack on

   • 对于子树或用户级策略，请运行：

     # dsconf <instance_name> localpwp set "ou=people,dc=example,dc=com" --pwdtrack on