Sun Java �ձ�     ��һ��      Ŀ¼      ����      ��һ��     

Sun �ձ�
Sun Java(TM) System Directory Server 5 2004Q2 ����ָ�� 

�� 7 ��
�����û��ʻ��Ϳ���

���û�l�ӵ� Directory Server ʱ��֤�û���ͬʱĿ¼���Ը����֤�����ȷ������������û�����Ȩ�޺���Դ���ơ�

���½����û��ʻ���������񣬰�(ΪĿ¼���ÿ�����ʻ�����ԡ�ͣ���ʻ����û��飬ʹ���޷�����Ŀ¼��������û��İ� DN �����û����õ�ϵͳ��Դ��

Directory Server ֧�ָ�������ԡ����Զ����������IJ�ͬ������ԣ���������֮һӦ�õ����û����û��顣������Ժ����׵ؿ��Ʋ�ͬ���͵��û�����Ŀ¼�ķ�ʽ��

���°�����С�ڣ�


������Ը���

��ȫ�Ŀ������ͨ��ǿ��ִ�����²��Խ������ײ²�Ŀ�������ķ��ս�����ͣ�

Directory Server ֧�ֵ����ȫ�ֿ�����ԡ���������������Ŀ¼���е�����Ŀ����ģ����иò��Ե��û���Ŀ�������ô˲��ԡ�����û���Ŀ�����õ�����ԣ��� cn=PasswordPolicy,cn=config �е�ȫ�ֿ�����Խ�Ӧ�õ��û���Ŀ��

������Խ�Ӧ���� userPassword ���ԣ�����û���Ŀ�д��ڣ������ڸ�ݴ����Խ�����֤�Ĺ����ǿ��ʵʩ�����Dz�Ӧ����������֤ģʽ���� SASL GSSAPI ����� SSL ����֤��

���²��ֽ������ִ�п�����Բ����������û����顣�й���ϸ��Ϣ������ġ�Directory Server Deployment Planning Guide��Chapter 7 �е� "Designing Password Policies"��


����ȫ�ֿ������

ȫ�ֿ������������Ŀ¼��δ���嵥����Ե������û�������ȫ�ֿ�����Բ�������Ŀ¼����Ա��

ʹ�ÿ���̨���ÿ������

Ҫ���û��޸� Directory Server ��ȫ�ֿ�����ԣ���ִ�����²���

  1. �� Directory Server Console �Ķ��������á�ѡ���ѡ����ݡ��ڵ㣬Ȼ�����Ҳ������ѡ�񡰿��ѡ���
  2. �ڡ����ѡ��ϣ����ò��Ե����·��棺
  3. ͨ��ѡ�С����ú��û������Ŀ����ѡ��ָ���û��������״ε�¼ʱ��Ŀ��
  4. ���ѡ�д˸�ѡ����ֻ�С�Ŀ¼����Ա������Ȩ�����û��Ŀ����������û�����ǿ���û���������

  5. Ҫ�����û�����Լ��Ŀ����ѡ�С��û����Ը�Ŀ����ѡ��
  6. Ҫ�����û��Ŀ�����Ƶ�ʣ����ڡ����� X ���ڸ�ġ��ı�������������Ҫ�����û��ɸ����Ը�Կ���������Σ���ѡ�С�û�����ơ���ѡ��
  7. Ҫ��ֹ�û�����ʹ����ͬ�Ŀ����ѡ�С�����������ʷ����ѡ�򣬲��ڡ���¼ X �����ı�����ָ��ϣ�������Ϊÿ���û�����Ŀ������û�������������Ȼ���б��еĿ��Ϊ��ʹ�˹�����Ч����Ӧ�������û��Ŀ�����Ƶ�ʡ�
  8. ���ϣ���û�������ڣ���ѡ�񡰿���Ӳ����ڡ���ѡ��ť��
  9. ������ѡ�񡰿����� X �����ڡ���ѡ��ť����ǿ���û����ڸ�Ŀ��Ȼ�������û��������Ч����
  10. ���ѡ����Ҫ���ڵĿ��������ڡ��������ǰ X �췢��桱�ֶ���ָ���������ǰ������û����;��档
  11. �û��ӵ�����󣬿���ڳ�ʼ���ڹ��ڡ�ȡ��ѡ�С������Ƿ񾯸涼����ڡ���ѡ�򣬽��ڷ��;�����ӳ���������������һ������ľ���ʱ��Ρ�ֻ����һ�ξ����һ���ӳ�������û��ڿ�����ں�󶨣���û�п��޵�¼��

  12. ���ϣ����������û�������﷨����ȷ�����������������趨�����Ҫ����ѡ�С��������﷨����ѡ��Ȼ���ڡ�������С���ȡ��ı�����ָ���ɽ��ܵ���С����ȡ�
  13. Ĭ������£�Ŀ¼����Ա��������Υ��������ԵĿ����������ʹ����ʷ�еĿ��Ҫ����Ŀ¼����Ա���ô�������ѡ�С�����Ŀ¼����Ա�ܿ�������ԡ���ѡ��
  14. �ӡ�������ܡ���-�˵���ָ��ϣ��������ڴ洢����ʱʹ�ú��ּ��ܷ�����
  15. �����ʻ���ѡ���ѡ�С��ʻ����ܻᱻ����ѡ���Զ����ʻ�����ԣ�
  16. �����¼��ʧ�ܴ����Լ������¼�Դ������ʱ��Ρ�
  17. ѡ����Զ����ѡ��ť����ȷ����Ŀ¼����Ա�����û�����ǰ�>�������
  18. ������ѡ�������ޡ���ѡ��ť��Ȼ�������û��ʻ�����ʱ��ķ�����
  19. ��ɶԿ�����Եĸ�ĺ󣬵�����桱����b��ǿ��ִ���µ�ȫ�ֿ�����ԡ�

�����������ÿ������

ȫ�ֿ���������� cn=Password Policy,cn=config ��Ŀ�����Զ���ġ�ʹ�� ldapmodify ���ó�������ڴ���Ŀ�и��ȫ�ֿ�����ԡ�

��Directory Server Administration Reference��Chapter 2 �е� "cn=Password Policy" ����˿�����������п��ܵ����ԵĶ��塣

���磬�����﷨���Ϳ���ȼ��Ĭ������´��ڹر�״̬���ʻ����ڽ���״̬��ʹ������������Դ��﷨��顢��������С��������Ϊ 8������ 5 �δ������Ժ������������ʱ��

ldapmodify -h host -p port -D "cn=Directory Manager" -w password
dn: cn=Password Policy,cn=config
changetype: modify
replace: passwordCheckSyntax
passwordCheckSyntax: on
-
replace: passwordMinLength
passwordMinLength: 8
-
replace: passwordLockout
passwordLockout: on
-
replace: passwordMaxFailure
passwordMaxFailure: 5
-
replace: passwordLockoutDuration
passwordLockoutDuration: 300
-
replace: passwordUnlock
passwordUnlock: on


���?��������

�������������ھ��� passwordPolicy �����������Ŀ�ж���ġ������� DN ��ʽΪ cn=��������������Ŀ¼���е�����λ�ö�����ԡ�ʹ�� Directory Server Console�������й��ó����������Ժ󣬿���ͨ����ϣ����û���Ŀ������ passwordPolicySubentry ����4���������ԡ�

�����е�ʾ������ Example.com���������Ϊ dc=example,dc=com��Ϊ��ʱԱ��ʵʩ������ԡ�

ʹ�ÿ���̨�������

  1. �� Directory Server Console �Ķ�����Ŀ¼��ѡ��У���ʾҪ�����ж��嵥������������Ŀ����Ŀ��
  2. �Ҽ�����Ŀ��ѡ���½���>��������ԡ������ߣ��������������Ŀ��ѡ����ӡ����󡱲˵���ѡ���½���>��������ԡ���
  3. ��ʾ��������ԡ���Ŀ���Զ���༭��

  4. �ڡ����桱�ֶ��У�����˲��Ե���ƺͿ�ѡ˵�����ƽ���Ϊ������Ե�����Ŀ�� cn �������Ե�ֵ��
  5. ������ѡ������ò��Ե����·��棺
  6. ͨ��ѡ�С����ú��û������Ŀ����ѡ��ָ���û��������״ε�¼ʱ��Ŀ�����ѡ�д˸�ѡ����ֻ�С�Ŀ¼����Ա������Ȩ�����û��Ŀ����������û�����ǿ���û���������
  7. Ҫ�����û�����Լ��Ŀ����ѡ�С��û����Ը�Ŀ����ѡ��
  8. Ҫ�����û��Ŀ�����Ƶ�ʣ����ڡ����� X ���ڸ�ġ��ı�������������Ҫ�����û��ɸ����Ը�Կ���������Σ���ѡ�С�û�����ơ���ѡ��
  9. Ҫ��ֹ�û�����ʹ����ͬ�Ŀ����ѡ�С�����������ʷ����ѡ�򣬲�ָ��ҪΪÿ���û�����Ŀ������û�������������Ȼ�ڸ��б��еĿ��Ϊ��ʹ�˹�����Ч����Ӧ�������û��Ŀ�����Ƶ�ʡ�
  10. ���ϣ���û�������ڣ���ѡ�񡰿���Ӳ����ڡ���ѡ��ť��
  11. ������ѡ�񡰿����� X �����ڡ���ѡ��ť����ǿ���û����ڸ�Ŀ��Ȼ�������û��������Ч����
  12. ���ѡ����Ҫ���ڵĿ�������ָ���ڿ������ǰ���û����;����ʱ�䡣�ڡ��������ǰ X �췢��桱�ı���������������ǰӦ���;��������
  13. �û��ӵ�����󣬿���ڳ�ʼ���ڹ��ڡ�ȡ��ѡ�С������Ƿ񾯸涼����ڡ���ѡ�򣬽��ڷ��;�����ӳ���������������һ������ľ���ʱ��Ρ�ֻ����һ�ξ����һ���ӳ�������û��ڿ�����ں�󶨣���û�п��޵�¼��

  14. ���ϣ����������û�������﷨����ȷ�����������������趨�����Ҫ����ѡ�С��������﷨����ѡ��Ȼ���ڡ�������С���ȡ��ı�����ָ���ɽ��ܵ���С����ȡ�
  15. Ĭ������£�Ŀ¼����Ա��������Υ��������ԵĿ����������ʹ����ʷ�еĿ��Ҫ����Ŀ¼����Ա���ô�������ѡ�С�����Ŀ¼����Ա�ܿ�������ԡ���ѡ��
  16. �ӡ�������ܡ���-�˵���ָ��ϣ��������ڴ洢����ʱʹ�ú��ּ��ܷ�����
  17. ������ѡ���ѡ�С��ʻ����ܻᱻ����ѡ���Զ����ʻ�����ԣ�
  18. �����¼��ʧ�ܴ����Լ������¼�Դ������ʱ��Ρ�
  19. ѡ����Զ����ѡ��ť����ȷ����Ŀ¼����Ա�����û�����ǰ�>�������
  20. ������ѡ�������ޡ���ѡ��ť��Ȼ�������û��ʻ�����ʱ��ķ�����
  21. ���Զ���༭���е���ȷ�������Ա�����Բ�����������Ŀ��

������������

���ڴ˿�����ԣ�������ϣ����ʱԱ�������� 100 �죨8 640 000 �룩����ڣ����ڿ������ǰ 3 �죨259 200 �룩��ʼ�԰󶨵��û����ص��ھ��档���﷨�����ǿ�ƶԿ��ȫ��ִ�л��飬��ǿ��ִ��������ֹ������ͨ��ʵ乥���ƽ������Ե�������Ӧ��Ĭ��ֵ��

ͨ����� dc=example,dc=com �µ���������Ŀ���� example.com �����ж���˿�����ԣ�

ldapmodify -a -h host -p port -D "cn=Directory Manager" -w password
dn: cn=TempPolicy,dc=example,dc=com
objectClass: top
objectClass: passwordPolicy
objectClass: LDAPsubentry
cn: TempPolicy
passwordStorageScheme: SSHA
passwordChange: on
passwordMustChange: on
passwordCheckSyntax: on
passwordExp: on
passwordMinLength: 6
passwordMaxAge: 8640000
passwordMinAge: 0
passwordWarning: 259200
passwordInHistory: 6
passwordLockout: on
passwordMaxFailure: 3
passwordUnlock: on
passwordLockoutDuration: 3600
passwordResetFailureCount: 600

��Directory Server Administration Reference��Chapter 2 �е� "cn=Password Policy" �ṩ�˿�����������п��ܵ����ԵĶ��塣

����������

���䵥����������ָ����Ӧ�IJ�������Ŀ��ɡ���������Ϊ passwordPolicySubentry ��ֵ��ӵ�������Ŀ������ʹ�� CoS �ͽ�ɫ������ԡ����������÷��ʿ����Է�ֹ�û��޸�Ӧ�������ǵĿ�����ԡ�

ʹ�ÿ���̨

Directory Server Console �ṩ��һ����棬���ڹ��������û�����Ŀ�����ԣ�

  1. �� Directory Server Console �Ķ�����Ŀ¼��ѡ��ϣ���ʾҪ�����з�����޸ĵ��������Ե��û���Ŀ������Ŀ��
  2. �Ҽ�����Ŀ���ӵ���˵���ѡ�����ÿ�����ԡ������ߣ��������������Ŀ��ѡ����ӡ����󡱲˵���ѡ�����ÿ�����ԡ���
  3. ��������ԡ��Ի��򽫸�֪Ӧ���ڴ���Ŀ�Ŀ�����ԣ�
  4. ���ȫ�ֿ���������ã��뵥����䡱����Ŀ¼���е�����λ��ѡ��һ������������Ŀ��
  5. ����Ѿ������˵�����ԣ�������滻��ɾ���༭�˵�����ԡ�����༭���ԡ�������������IJ�������Ŀ���Զ���༭��
  6. ������滻������Խ�����Ŀ¼�����Ի����ڴ�����ܻῴ��һ����С��Կͼ����ʾ�Ŀ����������Ŀ��

  7. ������˴˲��ԣ����ڡ�������ԡ��Ի����е���ȷ�������²��Խ�b����Ч��

��������

ҪΪ�û���Ŀ������Ŀ���������ԣ��뽫������Ե� DN ��Ϊ passwordPolicySubentry ���Ե�ֵ��ӡ����磬�������Ϊ Barbara Jensen ���� cn=TempPolicy,dc=example,dc=com��

ldapmodify -h host -p port -D "cn=Directory Manager" -w password
dn: uid=bjensen,ou=People,dc=example,dc=com
changetype: modify
add: passwordPolicySubentry
passwordPolicySubentry: cn=TempPolicy,dc=example,dc=com

ʹ�ý�ɫ�� CoS

����ɫ���û�����ʱ������ʹ�� CoS ָ����Ӧ�IJ�������Ŀ���й�ʹ�ý�ɫ�� CoS ����ϸ��Ϣ��������� 5 �¡�������ݺͽ�ɫ����

�����ʾ���У���������� Example.com Ϊ��ʱԱ������һ����ɸѡ��ɫ����Ϊ��Щ���д˽�ɫ��Ա������ cn=TempPolicy,dc=example,dc=com��

ldapmodify -a -h host -p port -D "cn=Directory Manager" -w password
dn: cn=TempFilter,ou=people,dc=example,dc=com
objectclass: top
objectclass: LDAPsubentry
objectclass: nsRoleDefinition
objectclass: nsComplexRoleDefinition
objectclass: nsFilteredRoleDefinition
cn: TempFilter
nsRoleFilter: (&(objectclass=person)(status=contractor))
description: filtered role for temporary employees

dn: cn=PolTempl,dc=example,dc=com
objectclass: top
objectclass: nsContainer

dn: cn="cn=TempFilter,ou=people,dc=example,dc=com",
 cn=PolTempl,dc=example,dc=com
objectclass: top
objectclass: extensibleObject
objectclass: LDAPsubentry
objectclass: costemplate
cosPriority: 1
passwordPolicySubentry: cn=TempPolicy,dc=example,dc=com

dn: cn=PolCoS,dc=example,dc=com
objectclass: top
objectclass: LDAPsubentry
objectclass: cosSuperDefinition
objectclass: cosClassicDefinition
cosTemplateDN: cn=PolTempl,dc=example,dc=com
cosSpecifier: nsRole
cosAttribute: passwordPolicySubentry operational

���к�ͬ��״̬���û����ڽ����ӿ������ cn=TempPolicy,dc=example,dc=com��

��������������

Ҫ��ֹ�û��޸�Ӧ�������ǵĿ�����ԣ������������Ŀ��� ACI�����磺

ldapmodify -h host -p port -D "cn=Directory Manager" -w password
dn: dc=example,dc=com
changetype: modify
add: aci
aci: (targetattr != "passwordPolicySubentry")(version 3.0; acl
 "Allow self modification except for passwordPolicySubentry";
 allow (write) (userdn ="ldap:///self");)


�����û�����

Ŀ¼���û���Ŀ�� userPassword �����д洢����ֵ����ݷ�����ķ��ʿ������ã��û�����ʹ������ ldapmodify �ı�׼���߽� userPassword ��ֵ��Ϊ��ָ���Ŀ������һ�¡�

��һ�����>��ʻ����ڿ�������У��û��������� accountUnlockTime Ϊ 0���� passwordUnlock Ϊ off��������Ŀ¼����Ա��������ÿ����Խ���û��ʻ������磬���� Example.com Ŀ¼�û� Barbara Jensen ����Dz��²��������>�����

ldapmodify -h host -p port -D "cn=Directory Manager" -w password
dn: uid=bjensen,ou=People,dc=example,dc=com
changetype: modify
replace: userPassword
userPassword: ChAnGeMe

����ڿ�������� passwordMustChange �ѿ����� Barbara �������´ΰ󶨺��Ŀ�����ס���������ѽ��������Ϊ ChAnGeMe�����ͨ��ȫ�ķ�ʽ��


ͣ�úͼ����û��ͽ�ɫ

����ʱͣ�õ����û��ʻ���һ���ʻ���ͣ�ú��û��޷��󶨵�Ŀ¼����֤����ʧ�ܡ�

�����еIJ������������ͬ��ʽͣ���û��ͽ�ɫ�����ǣ�ͣ�ý�ɫʱ��ͣ�õ��� role �еij�Ա����ǽ�ɫ��Ŀ���?�й�һ���ɫ���Լ���ɫ������ض����ʿ��ƽ��н������õ���ϸ��Ϣ��������� 5 �¡�������ݺͽ�ɫ����

ʹ�ÿ���̨�����û��ͽ�ɫ����

  1. �� Directory Server Console �Ķ�����Ŀ¼��ѡ��ϣ����Ŀ¼������ʾҪͣ�û����¼�����û���Ŀ���ɫ��Ŀ��
  2. ˫����Ŀ����ʾ���Զ���༭����������е����ʻ���ѡ���
  3. �Ҳ���彫��ʾ��Ŀ�ļ���״̬��

  4. ����ð�ť��ͣ�û򼤻������Ŀ��Ӧ���û����ɫ���ᴩ�༭�����û�ͼ����ɫͼ��ĺ�ɫ�����������Ŀ����ͣ�á�
  5. ����ȷ�����رնԻ��򣬲��������Ŀ�µļ���״̬��
  6. ������ѡ�����Ŀ���ӡ����󡱲˵���ѡ��ͣ�á��򡰼��������һ�ִ��Զ���༭��Ŀ�ݷ�ʽ��

ͨ��ӡ�����̨��ͼ��>����ʾ���˵���ѡ��ͣ��״̬�������Բ鿴����Ŀ¼����ļ���״̬���������ͣ����Ŀ��ͼ�꽫��ʾΪ��һ�����ᴩ���С�������ֱ��ͣ����Ŀ����ͨ���ɫ��Ա���ͣ����Ŀ��������ʾ�û���Ŀ����ȷ����״̬��

�������������û��ͽ�ɫ����

Ҫͣ���û��ʻ����ɫ��Ա����ʹ�� directoryserver account-inactivate ���Ҫ��������¼����û����ɫ����ʹ�� directoryserver account-activate ���

 

# /usr/sbin/directoryserver account-inactivate
# /usr/sbin/directoryserver account-activate

����������ʾ���ʹ����Щ����4ͣ�ú����¼��� Barbara Jensen ���û��ʻ���

/usr/sbin/directoryserver account-inactivate -h host -p port -D "cn=Directory\
        Manager" -w password -I "uid=bjensen,ou=People,dc=example,dc=com"

/usr/sbin/directoryserver account-activate -h host -p port -D "cn=Directory\
        Manager" -w password -I "uid=bjensen,ou=People,dc=example,dc=com"

����}�������У�-I ѡ��ָ��ҪΪ�����ü���״̬���û����ɫ�� DN��

�й���ϸ��Ϣ������ġ�Directory Server Administration Reference��Chapter 1 �е� "account-activate" �� "account-inactivate"��


���õ�����Դ����

��ʹ�ð󶨵�Ŀ¼�Ŀͻ���Ӧ�ó������ض���������ֵ�������������ķ��������ơ���������������������ƣ�

Ϊ�ض��û����õ���Դ������������ȫ�ַ��������������õ�Ĭ����Դ���ơ�Ӧ����֤�洢������Դ���Ƶ������Ƿ��ܵ���׺�����û���Ŀ���ϵ����� ACI �ı������Է�ֹ����������޸ģ�

(targetattr != "nsroledn || aci || nsLookThroughLimit || nsSizeLimit || nsTimeLimit || nsIdleTimeout || passwordPolicySubentry || passwordExpirationTime || passwordExpWarned || passwordRetryCount || retryCountResetTime || accountUnlockTime || passwordHistory || passwordAllowChangeTime")(version 3.0; acl "Allow self entry modification except for nsroledn, aci, resource limit attributes, passwordPolicySubentry and password policy state attributes"; allow (write)userdn ="ldap:///self";)

ʹ�ÿ���̨������Դ����

  1. �� Directory Server Console �Ķ�����Ŀ¼��ѡ��ϣ����Ŀ¼������ʾҪΪ��������Դ���Ƶ��û���
  2. ˫�����Ŀ����ʾ�Զ���༭����������е����ʻ���ѡ����Ҳ���彫��ʾ����Ŀ�ĵ�ǰ���ơ�
  3. ��������Դ���Ƶ��ĸ��ı��ֶ�������ֵ����������ֵ -1�����ʾ�Ը���Դû�����ơ�
  4. ��ɺ󵥻�ȷ�����Ա��������ơ�

��������������Դ����

����ʹ�� ldapmodify �������û���Ŀ�������������ԣ��������û�����Դʹ�ã�

����

˵��

nsLookThroughLimit

ָ����������鵽����Ŀ��ָ��Ϊ��Ŀ������ָ��������ֵΪ -1 ��ʾ�����ơ�

nsSizeLimit

ָ����������Ӧ�������ص��ͻ���Ӧ�ó���������Ŀ��ָ��������ֵΪ -1 ��ʾ�����ơ�

nsTimeLimit

ָ�������������������ѵ��ʱ�䡣ָ������ֵΪ -1 ��ʾ��ʱ�����ơ�

nsIdleTimeout

ָ���������ڷ���l��֮ǰ����������l�ӿ���Ϊ���е�ʱ�䡣����Ϊ��λ���ֵ��ָ��������ֵΪ -1 ��ʾ�����ơ�

���磬��ͨ����������ִ�� ldapmodify 4������Ŀ�Ĵ�С���ƣ�

ldapmodify -h host -p port -D "cn=Directory Manager" -w password
dn: uid=bjensen,ou=People,dc=example,dc=com
changetype: modify
add: nsSizeLimit
nsSizeLimit: 500

ldapmodify ��佫 nsSizeLimit ������ӵ� Barbara Jensen ����Ŀ�У������������ش�С����Ϊ 500 ����Ŀ��



��һ��      Ŀ¼      ����      ��һ��     


��Ȩ���� 2004 Sun Microsystems, Inc. ��������Ȩ��