Konfigurieren eines Identitätsagenten für die Authentifizierung unter Verwendung mehrerer Attributquellen

"authenticationSource":{
"isAuthenticationSource": false,
      "disablePrimaryLDAPLookup": false
    },

URI des externen LDAP-Hosts

Dieses Attribut gibt die Informationen für die On-Premises-LDAP-Serververbindung an. Für eine LDAP-Failover-Cluster-Konfiguration können Sie mehrere LDAP-Server-URIs hinzufügen, indem Sie URI hinzufügen auswählen.

Basis

Dieses Attribut gibt die LDAP-Container-Suchbasis für Benutzer an.

LDAP-Bindungs-DN

Dieses Attribut gibt den Benutzer der LDAP-Serververbindung an.

LDAP-Bindungskennwort

Dieses Attribut gibt das Kennwort der LDAP-Serververbindung an.

LDAP-CA-Zertifikat

Dieses optionale Attribut gibt das SSL-Zertifikat an, das verwendet wird, wenn der On-Premises-Agent eine TLS-Verbindung zum LDAP-Server erfordert.

Zusätzliche Einstellungen anzeigen

Sie können die folgenden Einstellungen definieren.

• Angabe, ob LDAP TLS erfordert
• Maximale Anzahl simultaner LDAP-Verbindungen für den LDAP-Server
• Wie lange eine erfolgreiche Passwortauthentifizierung zwischengespeichert wird.
• Angabe, wie lange die Verbindung aufrechterhalten wird
• Inaktivitätsdauer, bevor eine Verbindung vom LDAP-Server geschlossen wird
• Maximale Zeit zur Verarbeitung einer Anforderung

Attribute

Dieses Attribut gibt eine Liste der durch Kommas getrennten LDAP-Benutzerattribute an, die von einer erfolgreichen Kennwortprüfoperation zurückgegeben werden. Verwenden Sie für Primär LDAP sattribute den Attributnamen „ LDAP “. Bei alternativen Datenquellen muss dem Namen der Benutzerattribute der Name des Plug-ins „ JavaScript “ vorangestellt werden, von dem erwartet wird, dass es die Attribute im Format „ pluginName-Attribute “ zurückgibt. Angenommen, Sie legen Folgendes fest:

"pluginName": "OcPlug",

OcPlug-Dann müssen alle Attribute, die von der OcPlug Funktion zurückgegeben werden, mit einem Präfix versehen werden. Beispielsweise weist dies das Plug-in OcPlug „ JavaScript “ OcPlugin-mobile an, den Wert „mobile“ abzurufen.

Attribute müssen durch Kommas getrennt sein. Beispiel:

givenName, sh, displayName, manager, mail, mobile,
memberOf, uid, OcPlug-OCD_SPEC_ID, db2PLUG-
XTENDEDATTR, ldap-seeAlso

Hinweis: Das Beispiel zeigt, wie man Plug-in-Attribute festlegt. Attribute ohne Präfix wie givenName, sn, displayName, manager, mail, mobile, memberOf, und uid stammen aus der Hauptdatei „ LDAP “. seeAlsoOCD_SPEC_IDOcPlug gibt das Attribut zurück, „ db2Plug “ gibt das Attribut XTENDEDATTR zurück und das Plug-in „ldap“ gibt das Attribut zurück.

Binäre Attribute

Dieses Attribut gibt eine Liste der durch Kommas getrennten binären LDAP-Benutzerattribute an, die von einer erfolgreichen Kennwortprüfoperation zurückgegeben werden.

Benutzernamensattribut

Dieses Attribut ist das Benennungsattribut, wie beispielsweise user id, das für die Suche nach einem Benutzer für die Kennwortüberprüfung verwendet wird.

Hinweis: Bei den Attributen zur Benutzerkennung wird zwischen Groß- und Kleinschreibung unterschieden. Das Standardattribut samAccountName gilt für frühere Versionen von Windows Active Directory. sAMAAccountNameBei „ Active Directory “ ab Version 2016 lautet das Attribut.

Objektklasse

Dieses Attribut gibt eine Liste der durch Kommas getrennten Objektklassen an, über die ein LDAP-Benutzer verfügen kann. Die Objektklassen werden mit dem Attribut username verwendet, um nach einem Benutzer für die Kennwortüberprüfung zu suchen.

• Einen eindeutigen und aussagekräftigen Namen für den Agenten
• Eine Beschreibung
• Ein Anzeigename für den Identitätsanbieter
• Ein Bereich für den Identitätsanbieter

• ./jsconfig/ - Der Speicherort der Konfigurationsdateien.
• ./jsplugins/ - Der Speicherort der Plug-ins von „ JavaScript “.

Um diese Verzeichnisse für einen Docker-Container verfügbar zu machen, können Sie eine Bind-Mount-Verbindung vom Host-Dateisystem aus herstellen.

volumes:
                - ./jsconfig:/go/src/jsconfig:ro
                - ./jsplugins:/go/src/jsplugins:ro

{
    "pluginName": "OcPlug",
    "pluginType": "oracledb",
    "executionOrder": 1,
    "hardFail": true,
    "authenticationSource": {
      "isAuthenticationSource": true,
      "disablePrimaryLDAPLookup": false
    },
    "bindingConfig": {
      "connectionString": "oracle://system:oraclepass@host.docker.internal:1521/XE?CONNECTION TIMEOUT=5",
      "maxPoolSize": 50,
      "minPoolSize": 10,
      "agedTimeout": 60,
      "maxIdleTime": 10
    },
    "custom": {
      "table": "users"
    }
  }

{
    "pluginName": "plugin1",
    "pluginType": "ldap",
    "executionOrder": 1,
    "hardFail": false,
    "authenticationSource": {
      "isAuthenticationSource": true,
      "disablePrimaryLDAPLookup": false
    },
    "bindingConfig": {
      "bindDn": "cn=admin,dc=ibm,dc=com",
      "bindPassword": "pass",
      "uris": [
        "ldaps://localhost:8636",
        "ldap://localhost:8389"
      ],
      "maxPoolSize": 50,
      "agedTimeout": 60,
      "connectTimeout": 5,
      "filter": "(|(|(objectclass=ePerson)(objectclass=person))(objectclass=User))", 
      "userObjectClasses": "top,Person,organizationalPerson,inetOrgPerson",
      "selector": "objectClass,cn,sn,givenName,userPassword,streetAddress,seeAlso,mobile", 
      "userIdentifier": "uid",
      "baseDn": "dc=ibm,dc=com",
      "tlsConfig": {
        "caCert": "-----BEGIN CERTIFICATE-----\nMIIDbzCCAlegAwIBAgIULjAe6hySQZ8C8d1LnWKHlpirro4wDQYJKoZIhvcNAQEL\nBQAwRzELMAkGA1UEBhMC…",
        "insecureSkipVerify": false,
        "tlsMinVersion": 0,
        "clientCertLabel": "extauthn.client"
      }
    },
    "custom": {
      "table": "users"
    }
  }

Db2

HOSTNAME=host.docker.internal;PORT=50000;UID=db2inst1;PWD=db2_password;DATABASE=usersdb"

PostgreSQL

host=host.docker.internal port=8788 dbname=postgres user=postgres password=postgrespassword connect_timeout=5

LDAP TLS

caCert.Um über „ TLS “ eine Verbindung zu „ LDAP “ über ein „ JavaScript “-Plugin herzustellen, müssen Sie im uris Abschnitt die ldaps:// Option angeben und eine gültige angeben.

"uris": [
        "ldaps://localhost:8636"
      ],

Um MTLS über ein „ LDAP “-Plugin auszuführen, können Sie das Client-Zertifikat und den privaten Schlüssel des Client-Zertifikats mithilfe von Bind-Mounts im /cert/ Verzeichnis Ihres Containers ablegen.

- ./cert/:/cert:ro

<clientCertLabel>_key.pemStellen Sie sicher, dass die Zertifikatsnamen das Format <clientCertLabel>_cert.pem und haben, wobei clientCertLabel für die clientCertLabel steht, die in der Plug-in-Konfiguration für „ LDAP “-Plug-ins angegeben ist.