☰

Openldap mit ppolicy

tag-icon • tag-icon linux authentication ldap openldap
Openldap mit ppolicy

Wir haben eine funktionierende Installation von OpenLDAP Version 2.4, die ShadowAccount-Attribute verwendet. Ich möchte ppolicy-Overlays aktivieren.

Ich habe die unter angegebenen Schritte ausgeführtOpenLDAP und ppolicy – ​​Anleitung. Ich habe die Änderungen an slapd.conf vorgenommen und die Passwortrichtlinie importiert.

Beim Neustart funktioniert OpenLDAP einwandfrei und ich kann die Kennwortrichtlinie sehen, wenn ich eine LDAP-Suche durchführe. Das Benutzerobjekt sieht wie unten dargestellt aus.

# extended LDIF
#
# LDAPv3
# base <dc=xxxxx,dc=in> with scope subtree
# filter: uid=testuser
# requesting: ALL
#

# testuser, People, xxxxxx.in
dn: uid=testuser,ou=People,dc=xxxxx,dc=in
uid: testuser
cn: testuser
objectClass: account
objectClass: posixAccount
objectClass: top
objectClass: shadowAccount
shadowMax: 90
shadowWarning: 7
loginShell: /bin/bash
uidNumber: 569
gidNumber: 1005
homeDirectory: /data/testuser
userPassword:: xxxxxxxxxxxxx
shadowLastChange: 15079

Die Kennwortrichtlinie finden Sie weiter unten.

# default, policies, xxxxxx.in
dn: cn=default,ou=policies,dc=xxxxxx,dc=in
objectClass: top
objectClass: device
objectClass: pwdPolicy
cn: default
pwdAttribute: userPassword
pwdMaxAge: 7776002
pwdExpireWarning: 432000
pwdInHistory: 0
pwdCheckQuality: 1
pwdMinLength: 8
pwdMaxFailure: 5
pwdLockout: TRUE
pwdLockoutDuration: 900
pwdGraceAuthNLimit: 0
pwdFailureCountInterval: 0
pwdMustChange: TRUE
pwdAllowUserChange: TRUE
pwdSafeModify: FALSE

Ich weiß nicht, was danach geschehen soll. Wie kann dasSchattenAccount-Attribute durch die Kennwortrichtlinie ersetzt werden.

Antwort1

shadowAccountAttribute haben nichts mit den Kennwortrichtlinien zu tun. Kennwortrichtlinien (die selbst auf einem RFC-Entwurf basieren und sich morgen ändern oder ganz verschwinden könnten) werden vom Server verwaltet. Der Schattenkram wird von LDAP-Clients verwaltet. Beispielsweise ermöglichen die Kennwortrichtlinien dem Server, den Kennwortverlauf und die Kennwortqualität serverseitig durchzusetzen, aber die Clients müssen sich um den shadowAccountKram kümmern.

verwandte Informationen