6.5. Appliquer des options supplémentaires de politique de mot de passe à un groupe IdM

Procédure

1. Appliquer le contrôle du nom d'utilisateur à tous les nouveaux mots de passe proposés par les utilisateurs du groupe managers:

   $ ipa pwpolicy-mod --usercheck=True managers

   Note

   Si vous ne spécifiez pas le nom de la politique de mot de passe, la valeur par défaut global_policy est modifiée.

2. Définissez le nombre maximum de caractères identiques consécutifs à 2 dans la politique de mot de passe managers:

   $ ipa pwpolicy-mod --maxrepeat=2 managers

   Un mot de passe ne sera pas accepté s'il contient plus de 2 caractères identiques consécutifs. Par exemple, la combinaison eR873mUi111YJQ est inacceptable parce qu'elle contient trois 1consécutifs.

Vérification

1. Ajouter un utilisateur test nommé test_user:

   $ ipa user-add test_user
   First name: test
   Last name: user
   ----------------------------
   Added user "test_user"
   ----------------------------

2. Ajoutez l'utilisateur test au groupe managers:

   1. Dans l'interface Web IdM, cliquez sur Identité → Groupes → Groupes d'utilisateurs.
   2. Cliquez sur managers.
   3. Cliquez sur Add.
   4. Dans la page Add users into user group 'managers', vérifiez test_user.
   5. Cliquez sur la flèche > pour déplacer l'utilisateur dans la colonne Prospective.
   6. Cliquez sur Add.

3. Réinitialiser le mot de passe de l'utilisateur test :

   1. Aller à Identité → Utilisateurs.
   2. Cliquez sur test_user.
   3. Dans le menu Actions, cliquez sur Reset Password.
   4. Entrez un mot de passe temporaire pour l'utilisateur.

4. Sur la ligne de commande, essayez d'obtenir un ticket Kerberos (TGT) pour l'adresse test_user:

   $ kinit test_user

   1. Saisissez le mot de passe temporaire.

   2. Le système vous informe que vous devez modifier votre mot de passe. Saisissez un mot de passe qui contient le nom d'utilisateur test_user:

      Password expired. You must change it now.
      Enter new password:
      Enter it again:
      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.

      Note

      Kerberos ne dispose pas d'une politique de signalement des erreurs de mot de passe très fine et, dans certains cas, ne fournit pas de raison claire pour laquelle un mot de passe a été rejeté.

   3. Le système vous informe que le mot de passe introduit a été rejeté. Introduisez un mot de passe contenant au moins trois caractères identiques successifs :

      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.
      
      Enter new password:
      Enter it again:

   4. Le système vous informe que le mot de passe introduit a été rejeté. Saisissez un mot de passe qui répond aux critères de la politique de mot de passe managers:

      Password change rejected: Password not changed.
      Unspecified password quality failure while trying to change password.
      Please try again.
      
      Enter new password:
      Enter it again:

5. Voir le TGT :

   $ klist
   Ticket cache: KCM:0:33945
   Default principal: test_user@IDM.EXAMPLE.COM
   
   Valid starting       Expires              Service principal
   07/07/2021 12:44:44  07/08/2021 12:44:44  krbtgt@IDM.EXAMPLE.COM@IDM.EXAMPLE.COM