LDAP 보안 정책의 최소 길이가 작동하지 않습니다.

Question

작동하는 LDAP 서버가 있습니다. 다음으로 LDAP 서버에 비밀번호 정책을 추가했습니다. 내 비밀번호 ldif는 다음과 같습니다 :

dn: cn=MyPolicy,ou=Policies,dc=XXX,dc=XXXX 
cn: MyPolicy 
objectClass: pwdPolicy 
#objectClass: pwdPolicyChecker 
objectClass: device 
objectClass: top 
pwdAttribute: 2.5.4.35 
#pwdAttribute: userPassword 
pwdMaxAge: 7862400 
pwdExpireWarning: 6048000 
pwdInHistory: 3 
pwdCheckQuality: 2 
pwdMinLength: 7 
pwdMaxFailure: 3 
pwdLockout: TRUE 
pwdLockoutDuration: 300 
pwdGraceAuthNLimit: 0 
pwdFailureCountInterval: 0 
pwdMustChange: TRUE 
pwdAllowUserChange: TRUE 
pwdSafeModify: FALSE 
pwdReset: FALSE 

내 LDAP 서버에 성공적으로 추가되었습니다. 그러나 잠금 및 잠금 기간 만 작동합니다. 암호 최소 길이가 작동하지 않습니다.

pam configuration 
Server side configuration 

pam.d/common-auth 
auth [success=1 default=ignore] pam_ldap.so nullok_secure try_first_pass 
auth requisite pam_deny.so 
auth required pam_permit.so 

pam.d/common-account 
account [success=1 new_authtok_reqd=done default=ignore] pam_unix.so 
account requisite pam_deny.so 
account required  pam_permit.so 

pam.d/common-password 
password [success=1 default=ignore] pam_unix.so obscure sha512 minlen=8 
password requisite pam_deny.so 
password required pam_permit.so 


Client side configuration 

pam.d/common-auth 
auth [success=2 default=ignore] pam_unix.so null_secure try_first_pass 
auth [success=1 default=ignore] pam_ldap.so use_first_pass 
auth requisite pam_deny.so 
auth required pam_permit.so 

pam.d/common-account 
account [success=2 new_authtok_reqd=done default=ignore] pam_ldap.so 
account [success=1 default=ignore] pam_unix.so 
account needs pam_deny.so 
account required pam_permit.so 

pam.d/common-password 
password [success=2 default=ignore] pam_unix.so obscure sha512 
password [success=1 user_unknown=ignore default=die] pam_ldap.so try_first_pass 
password requisite pam_deny.so 
password required pam_permit.so 

ldap.conf 
pam_lookup_policy yes 

어디에서 잘못했는지 알려주세요.

Answer 1

OpenLDAP를 사용하는 경우 암호 정책 오버레이가 ManagerDN에 의해 ​​완전히 무시됩니다. 직접 사용해서는 안되며 OpenLDAP 서버에만 해당됩니다. 암호 수정 작업을 수행하기 위해 덜 권한이 있지만 충분히 권한이 부여 된 다른 LDAP 계정, 즉 사용자 자신의 계정을 사용해야합니다.

Answer 2

pwdLockout: TRUE 
pwdLockoutDuration: 300 

이러한 속성은 (관리자 DN 제외) 사용자가 자신의 userPassword 속성에 수정 암호 연산을 수행 할 때이 속성이 선택 전용 계정

pwdMinLength: 7 

을 고정하는 데 실패 바인드 시도에 사용됩니다. 이 규칙을 만족하지 않는 이미 생성 된 계정은 잠그지 않습니다.

편집 :

에서 :

pam_password crypt 

사람 :

는

pam_password exop 

이 수정됩니다

당신의 다른 의견을 고려, 파일 /etc/ldap.conf에 줄을 수정하려고 비밀 번호는 확장 작업을 사용하여 modifypassword 그래서 쉬 ould는 암호 정책을 트리거합니다.