OpenLDAP 密碼策略

OpenLDAP默認是沒有密碼檢查策略的，123456這也得密碼也能接受，這顯然是管理員不希望看到的。

參考地址：https://www.yaoge123.com/blog/archives/1276

導入密碼策略schema

  ldapadd -Y EXTERNAL -H ldapi:/// -D "cn=config" -f /etc/openldap/schema/ppolicy.ldif

假如沒有cn=module{0}的話，參考地址：https://www.cnblogs.com/Kevin-1967/p/8931304.html，需要添加：因為需要在OpenLdap中添加組的功能，所以需要添加memberOf功能，步驟如下

在/etc/openldap目錄下新建文件memberof_load_configure.ldif。授權：chown -R ldap:ldap memberof_load_configure.ldif

內容如下：

dn: cn=module{0},cn=config
objectClass: olcModuleList
cn: module{0}
olcModulepath: /usr/lib64/openldap
olcModuleload: {0}memberof.la

dn: olcOverlay={0}memberof,olcDatabase={2}hdb,cn=config
objectClass: olcMemberOf
objectClass: olcOverlayConfig
objectClass: olcConfig
objectClass: top
olcOverlay: {0}memberof

說明：上面的參數請根據實際情況修改（比如32的系統的話olcModulepath為/usr/lib/openldap）
dn: cn=module{0},cn=config 如果/etc/openldap/slapd.d/cn=config目錄下已經存在cn=module{0}.ldif 文件的話，你就需要修改 module后面的數字了
dn: olcOverlay={0}memberof,olcDatabase={2}bdb,cn=config 這行中如果上述目錄中沒有olcDatabase={2}bdb.ldif文件就把 olcDatabase={2}bdb改成olcDatabase={2}hdb
之后執行命令ldapadd -Q -Y EXTERNAL -H ldapi:/// -f memberof_load_configure.ldif。

注：配置雙主的則兩台都要加載mod_ppolicy.ldif這個以后在執行后面的命令

加載模塊，因為已經添加過syncprov模塊了，所以只要追加ppolicy模塊就可以了

dn: cn=module{0},cn=config
changetype: modify
add: olcModuleLoad
olcModuleLoad: ppolicy.la

ldapmodify -Y EXTERNAL -H ldapi:/// -f mod_ppolicy.ldif

指定默認策略dn名

dn: olcOverlay=ppolicy,olcDatabase={2}hdb,cn=config
changeType: add
objectClass: olcOverlayConfig
objectClass: olcPPolicyConfig
olcOverlay: ppolicy
olcPPolicyDefault: cn=default,ou=Users,dc=hbjc,dc=com
olcPPolicyHashCleartext: TRUE

ldapmodify -Y EXTERNAL -H ldapi:/// -f ppolicy.ldif

參考地址：https://blog.csdn.net/u011607971/article/details/86378361

創建組：cat << EOF | ldapadd -x -D "cn=admin,dc=hbjc,dc=com" -W

dn: ou=Users,dc=hbjc,dc=com
objectClass: top
objectClass: organizationalUnit
ou: Users
EOF


創建默認策略：
注：若設置pwdMaxAge：3600，則一個小時以后就過期了。單獨設置在一個用戶中設置密碼策略是不生效的。

cat << EOF | ldapadd -x -D "cn=admin,dc=hbjc,dc=com" -W

dn: cn=default,ou=Users,dc=hbjc,dc=com
cn: default
objectClass: top
objectClass: device
objectClass: pwdPolicy
objectClass: pwdPolicyChecker
pwdAttribute: userPassword
pwdInHistory: 8
pwdMinLength: 8
pwdMaxFailure: 3
pwdFailureCountInterval: 1800
pwdCheckQuality: 2
pwdMustChange: TRUE
pwdGraceAuthNLimit: 0
pwdMaxAge: 2592000
pwdExpireWarning: 1209600
pwdLockoutDuration: 900
pwdLockout: TRUE
EOF

針對不同用戶使用不同的密碼策略：

dn: cn=servicesaccounts,ou=Users,dc=hbjc,dc=com
cn: servicesaccounts
objectClass: top
objectClass: device
objectClass: pwdPolicy
pwdAllowUserChange: TRUE
pwdAttribute: userPassword
pwdExpireWarning: 0
pwdFailureCountInterval: 0
pwdGraceAuthNLimit: 5
pwdLockout: FALSE
pwdLockoutDuration: 0
pwdInHistory: 0
pwdMaxAge: 0
pwdMaxFailure: 0
pwdMinAge: 0
pwdMinLength: 15
pwdMustChange: FALSE
pwdSafeModify: FALSE
EOF

ldapsearch -x -LLL -H ldap://localhost:389/ -b dc=hbjc,dc=com -D "cn=admin,dc=hbjc,dc=com" -w 密碼 uid=xxx +

解鎖賬號：只要把用戶的pwdAccountLockedTime這個屬性刪除即可。

cat << EOF | ldapadd -x -D "cn=admin,dc=hbjc,dc=com" -W
dn: uid=xxx,ou=Users,dc=hbjc,dc=com
changetype: modify
delete: pwdAccountLockedTime
EOF

密碼策略屬性參考地址：https://wiki.shileizcc.com/confluence/pages/viewpage.action?pageId=40566878

密碼策略屬性詳解

設定用戶密碼定期修改及過期時間

Openldap密碼策略pwdAttribute屬性設置OID

免責聲明！