Avec pam_krb5 comme système de gestion des mots passe et des comptes, l'environnement Kerberos gère toutes les informations de compte, de mot de passe, de verrouillage de compte et autres détails de gestion des comptes.
Si vous n'utilisez pas pam_krb5, le service de noms LDAP peut être configuré de façon à tirer parti de la prise en charge de la stratégie de mot de passe et de verrouillage de compte dans Oracle Directory Server Enterprise Edition. Vous pouvez configurer pam_ldap de façon à permettre la prise en charge de la gestion des comptes utilisateur. Avec une configuration PAM appropriée, la commande passwd applique les règles de syntaxe du mot de passe définies par la stratégie de mot de passe Oracle Directory Server Enterprise Edition. Cependant, n'activez pas la gestion des comptes pour les comptes proxy.
Les fonctions suivantes de gestion des comptes sont prises en charge par pam_ldap. Ces fonctions dépendent de la configuration de la stratégie de mot de passe et de verrouillage de compte de Oracle Directory Server Enterprise Edition. Vous pouvez activer autant de fonctions que vous le souhaitez.
Durée de vie du mot de passe et notification d'expiration. Les utilisateurs doivent modifier leurs mots de passe conformément à la planification. Dans le cas contraire, le mot de passe expire et ils ne peuvent pas s'authentifier.
Un message d'avertissement s'affiche à chaque fois que les utilisateurs se connectent pendant la période d'avertissement d'expiration. Le message d'avertissement contient également le temps restant avant l'expiration du mot de passe.
Vérifications de la syntaxe du mot de passe. Les nouveaux mots de passe doivent respecter la longueur minimale requise pour le mot de passe. Un mot de passe ne peut pas correspondre à la valeur des attributs uid, cn, sn ou mail dans l'entrée d'annuaire de l'utilisateur.
Vérification des mots de passe dans l'historique. Les utilisateurs ne peuvent pas réutiliser un ancien mot de passe. Les administrateurs LDAP peuvent configurer le nombre de mots de passe stockés dans la liste Historique du serveur.
Verrouillage d'un compte utilisateur. Un compte utilisateur peut être verrouillé après un nombre spécifique d'échecs d'authentification. Un utilisateur peut également être bloqué si son compte est désactivé par un administrateur. L'authentification continuera d'échouer jusqu'à ce que la durée du verrouillage de compte soit écoulée ou jusqu'à ce que l'administrateur réactive le compte.
Avant de configurer la stratégie de mot de passe et de verrouillage de compte sur Oracle Directory Server Enterprise Edition, assurez-vous que tous les hôtes utilisent le client LDAP le plus récent avec la gestion des comptes pam_ldap. En outre, assurez-vous que les clients possèdent un fichier pam.conf correctement configuré. Dans le cas contraire, le service de noms LDAP cesse de fonctionner lorsque les mots de passe proxy ou utilisateur expirent.