LDAP и unboundid: как заставить работать password policy / Java

ReSQL.ru

Мобильная версия Контакт Правила FAQ Помощь

Гость

Войти | Регистрация | Профиль | Очистить

Новые сообщения | Избранное

Форумы | Пользователи | Статистика | Мод. лог | Поиск

Цитировать

Написать

Автор*:

Ввести пароль для входа

Тема*:

Сообщение

Данное сообщение тематическое

Сообщение содержит картинки или видео 18+

Автор:

ВНИМАНИЕ! На данном подфоруме действуют строгие правила. Удостоверьтесь, что ваше сообщение соответствует им!

Форум или тема закрыты для гостей. Необходима авторизация!

Загрузить последнюю сохраненную версию

Вложение:

Вставить как галерею

Максимальный размер вложений: 4,0 МБ, аудио/видео: 8,0 МБ. Картинки большего размера ужимаются, если возможно.

Введите код, изображенный на картинке. Если код нечитаемый, кликните картинку, чтобы загрузить другой вариант.

Отправляя сообщение, я выражаю свое согласие с правилами форума и принимаю пользовательское соглашение.

Доб. в избранное | Игнор. тему | Прикреп. тему | Пометить прочит. / непрочит. | Фильтр

Форумы / Java [игнор отключен] [закрыт для гостей] / LDAP и unboundid: как заставить работать password policy

2 сообщений из 2, страница 1 из 1

LDAP и unboundid: как заставить работать password policy

#38981337

Африканец

Гость

Hi All,

Необходимо устроить аутентификацию пользователей через LDAP. При этом важно искользовать парольную политику, в частности:
- заблокированный пользователь при попытке аутентификации должен получить сообщение "аккаунт заблокирован";
- свежесозданный пользователь при первом логине должен поменять пароль.

Используется OpenLDAP 2.4.38 под Windows. В качестве клиентского API использую unboundid.

Вопрос: как заставить работать password policy при работе через API?

Password policy определена так:

Код: sql

1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
17.
18.
19.
20.
21.

dn: ou=pwpolicies,dc=minecofin,dc=com
objectclass: organizationalUnit

dn: cn=default,ou=pwpolicies,dc=minecofin,dc=com
objectClass: pwdPolicy
objectclass: organizationalRole
cn: default
pwdAttribute: userPassword
pwdMaxAge: 2592000
pwdExpireWarning: 86400
pwdInHistory: 3
#pwdCheckQuality: 0
pwdMaxFailure: 5
pwdLockout: TRUE
#pwdLockoutDuration: 0
#pwdGraceAuthNLimit: 0
#pwdFailureCountInterval: 0
pwdMustChange: TRUE
pwdMinLength: 6
#pwdAllowUserChange: TRUE
pwdSafeModify: TRUE

В конфиге openLDAP (slapd.comf) политика подключена так:

Код: sql

1.
2.
3.

overlay 	ppolicy
ppolicy_default	"cn=default,ou=pwpolicies,dc=minecofin,dc=com"
ppolicy_use_lockout

Утилиты типа ldapwhoami работают с политикой (при наличии ключа -e ppolicy); например, для аккаунта с атрибутом pwdReset=TRUE:

Код: sql

1.
2.
3.

C:\OpenLDAP\bin>ldapwhoami -x -D uid=croffler,dc=minecofin,dc=com -w hello -e ppolicy
ldap_bind: Success (0); Password must be changed
dn:uid=croffler,dc=minecofin,dc=com

Но, когда использую API, в bindResult не появляется никаких дополнительных response control'ов, которые позволяли бы сделать вывод, что пароль надо менять.

Код: java

1.
2.
3.

LDAPConnection connection = new LDAPConnection(ldapHost, ldapPort);
BindRequest bindRequest = new SimpleBindRequest(dn, password);
BindResult bindResult = connection.bind(bindRequest);

...

Рейтинг:

0 / 0

10.06.2015, 16:18

| Ответить | Цитировать | Написать

LDAP и unboundid: как заставить работать password policy

#38982088

Африканец

Гость

Проблема решилась.

С моей точки зрения, LDAP устроен несколько нелогично. Казалось бы, если есть password policy по умолчанию, все подключения должны ей следовать. Однако для того, чтобы password policy применялась при подключении, необходимо этого явно потребовать (см. пример по ссылке ).

...

Рейтинг:

0 / 0

11.06.2015, 12:21

| Ответить | Цитировать | Написать

2 сообщений из 2, страница 1 из 1

Форумы / Java [игнор отключен] [закрыт для гостей] / LDAP и unboundid: как заставить работать password policy

Читали тему (0):

Читали форум (0):

Пользователи онлайн (0):

start [/forum/topic.php?fid=59&fpage=128&tid=2125307]:	0ms
get settings:	9ms
get forum list:	13ms
check forum access:	3ms
check topic access:	3ms
track hit:	72ms
get topic data:	9ms
get forum data:	2ms
get page messages:	20ms
get tp. blocked users:	1ms
others:	263ms

total:	395ms

	Необходимые cookie
	Cookie для сбора статистики
	Cookie для маркетинга и рекламы