5.3. 在密码过期后自动禁用帐户一定时间
按照以下步骤配置基于时间的锁定策略,该策略在 dc=example,dc=com
条目下的用户中激活,并且不会为超过 28 天更改其密码。
先决条件
-
用户必须在其条目中设置
passwordExpirationTime
属性。
流程
启用密码过期功能:
#
dsconf -D "cn=Directory Manager" ldap://server.example.com config replace passwordExp=on
启用帐户策略插件:
#
dsconf -D "cn=Directory Manager" ldap://server.example.com plugin account-policy enable
配置插件配置条目:
#
dsconf -D "cn=Directory Manager" ldap://server.example.com plugin account-policy config-entry set "cn=config,cn=Account Policy Plugin,cn=plugins,cn=config" --always-record-login yes --always-record-login-attr lastLoginTime --state-attr non_existent_attribute --alt-state-attr passwordExpirationTime --spec-attr acctPolicySubentry --limit-attr accountInactivityLimit
这个命令使用以下选项:
-
--always-record-login yes
:启用登录时间的日志记录。这需要使用带帐户策略的类服务(CoS)或角色,即使它没有设置acctPolicySubentry
属性。 -
--always-record-login-attr lastLoginTime
: 配置 Account Policy 插件在用户的lastLoginTime
属性中存储最后一次登录的时间。 -
--state-attr non_existent_attribute
:设置用于评估帐户策略到不存在的 dummy 属性的主时间属性。 -
--Alt-state-attr 'passwordExpirationTime
:配置插件以使用passwordExpirationTime
属性作为要检查的备用属性。 -
--spec-attr acctPolicySubentry
: Configures Directory Server 应用策略到设置了acctPolicySubentry
属性的条目。您可以在 CoS 条目中配置此属性。 -
--limit-attr accountInactivityLimit
:配置帐户策略条目中的accountInactivityLimit
属性会在帐户上次更改密码后被激活时保存时间。
-
重启实例:
#
dsctl instance_name restart
创建激活策略条目的帐户:
#
ldapadd -D "cn=Directory Manager" -W -H ldap://server.example.com -x
dn: cn=Account Inactivation Policy,dc=example,dc=com objectClass: top objectClass: ldapsubentry objectClass: extensibleObject objectClass: accountpolicy accountInactivityLimit: 2419200 cn: Account Inactivation PolicyaccountInactivityLimit
属性中的值用来控制,在更改密码后,目录服务器使帐户不活跃2419200
秒(28 天)。创建 CoS 模板条目:
#
ldapadd -D "cn=Directory Manager" -W -H ldap://server.example.com -x
dn: cn=TemplateCoS,dc=example,dc=com objectClass: top objectClass: ldapsubentry objectClass: extensibleObject objectClass: cosTemplate acctPolicySubentry: cn=Account Inactivation Policy,dc=example,dc=com此模板条目引用帐户正在激活策略。
创建 CoS 定义条目:
#
ldapadd -D "cn=Directory Manager" -W -H ldap://server.example.com -x
dn: cn=DefinitionCoS,dc=example,dc=com objectClass: top objectClass: ldapsubentry objectclass: cosSuperDefinition objectclass: cosPointerDefinition cosTemplateDn: cn=TemplateCoS,dc=example,dc=com cosAttribute: acctPolicySubentry default operational-default此定义条目引用 CoS 模板条目,并导致
acctPolicySubentry
属性出现在每个用户条目中,值设为cn=Account Inactivation Policy,dc=example,dc=com
。
验证
将用户的
passwordExpirationTime
属性设置为比您配置的不活跃时间超过不活跃时间的值:#
ldapmodify -H ldap://server.example.com -x -D "cn=Directory Manager" -W
dn: uid=example,ou=People,dc=example,dc=com changetype: modify replace: passwordExpirationTime passwordExpirationTime: 20210101000000Z尝试以这个用户身份连接到该目录:
#
ldapsearch -H ldap://server.example.com -x -D "uid=example,ou=People,dc=example,dc=com" -W -b "dc=example,dc=com"
ldap_bind: Constraint violation (19) additional info: Account inactivity limit exceeded. Contact system administrator to reset.如果目录服务器拒绝访问并返回这个错误,则帐户不活跃工作。
其他资源