Как получить политику паролей - freeradius - ldap

Question

Требуется найти срок действия пароля пользователя.

Теперь в ldap вы устанавливаете срок действия с помощью политики паролей.Атрибут политики паролей pwdMaxAge указывает, через сколько секунд после изменения пароля истекает срок действия пароля.

Политика паролей ldap

В момент изменения /создать пароль пользователя, операционный атрибут pwdChangedTime будет добавлен вместе с отметкой времени.К сожалению, ldap не добавляет никаких операционных атрибутов для времени истечения, это то, что нам нужно вычислить, выполнив pwdChangedTime + pwdMaxAge < current_time

В вашем файле mods-enabled/ldap вы можете получить атрибут pwdChangedTime.Здорово!Но как мне получить атрибут pwdMaxAge.Этот файл имеет структуру только для пользователей, групп, профилей, клиентов, но не для политики паролей. Информация о модах доступна в Raddb.

(Я могу сделать это программно, написав код / ​​скрипт для извлечения этих атрибутов, используя cli, а затем выполняя мои манипуляции, но возможно ли это сделать черезКонфигурация? Coz, если вы посмотрите на это, это время истечения связано с пользовательским атрибутом, и должен быть способ вернуть его вместе с минимальными данными пользователя, такими как имя и организация, которые мы возвращаем)

Спасибо!

Answer 1

Нет такого операционного атрибута pwdMaxAge в записи пользователя.

Предупреждение об истечении срока действия пароля во время проверки пароля возвращается сервером в элементе управления ответом, если клиент отправляет привязкузапрос с соответствующим контролем запроса (см. draft-behera-ldap-password-policy, раздел 6.1 и 6.2 ).

Это означает, что клиент LDAP (FreeRADIUS в вашем случае) долженподдержать это.Кроме того, все промежуточные компоненты (сервер RADIUS, точка доступа Wi-Fi и т. Д.) Должны быстро обрабатывать ответ и возвращать некоторую полезную информацию по цепочке пользователю.На практике это не работает.

Поэтому я бы рекомендовал отправлять предупреждение об истечении срока действия пароля по электронной почте.Есть готовые к использованию скрипты, такие как checkLdapPwdExpiration.sh , предоставляемые Проект LDAP Toolbox .