Configuración de un agente de identidad para la autenticación mediante el uso de varias fuentes de atributos

"authenticationSource":{
"isAuthenticationSource": false,
      "disablePrimaryLDAPLookup": false
    },

URI de host de LDAP externo

Este atributo es la información de conexión del servidor LDAP local. Para una configuración de migración tras error de LDAP de clúster, puede añadir varios URI de servidor LDAP seleccionando Añadir URI.

Base

Este atributo es la base de búsqueda del contenedor de LDAP para los usuarios.

DN de enlace de LDAP

Este atributo es el usuario de conexión del servidor LDAP.

Contraseña de enlace LDAP

Este atributo es la contraseña de conexión del servidor LDAP.

Certificado de autoridad emisora de certificados LDAP

Este atributo opcional es el certificado SSL que se utiliza si el agente local requiere una conexión TLS con el servidor LDAP.

Ver valores adicionales

Puede definir los valores siguientes.

• Habilite si LDAP requiere TLS.
• El número máximo de conexiones LDAP simultáneas para el servidor LDAP.
• Cuánto tiempo se almacena en caché una autenticación de contraseña correcta.
• Cuánto tiempo se mantiene la conexión.
• El tiempo de inactividad antes de que el servidor LDAP cierre una conexión.
• El tiempo máximo para procesar una solicitud.

Atributos

Este atributo es una lista de los atributos de usuario de LDAP separados por comas que se devuelven de una operación de verificación de contraseña satisfactoria. Para los atributos de « LDAP » (primarios), utiliza el nombre de atributo « LDAP ». En el caso de fuentes de datos alternativas, antepone al nombre de los atributos de usuario el nombre del complemento « JavaScript », que se espera que devuelva los atributos en el formato pluginName-Attribute.. Por ejemplo, si establece que

"pluginName": "OcPlug",

entonces cualquier atributo que devuelva el OcPlug debe ir precedido del prefijo OcPlug-. Por ejemplo, OcPlugin-mobile indica al complemento OcPlug « JavaScript » que recupere el valor «mobile».

Los atributos deben estar separados por comas. Por ejemplo:

givenName, sh, displayName, manager, mail, mobile,
memberOf, uid, OcPlug-OCD_SPEC_ID, db2PLUG-
XTENDEDATTR, ldap-seeAlso

Nota: El ejemplo muestra cómo especificar los atributos de un complemento. Los atributos sin prefijo, como givenName, sn, displayName, manager, mail, mobile memberOf,, y uid , proceden del archivo principal LDAP. OcPlug devuelve el atributo OCD_SPEC_ID« db2Plug », devuelve el atributo XTENDEDATTR «» y el complemento «ldap» devuelve el atributo seeAlso«».

Atributos binarios

Este atributo es una lista de los atributos de usuario de LDAP binarios separados por comas que se devuelven de una operación de verificación de contraseña satisfactoria.

Atributo de nombre de usuario

Este atributo es el atributo de denominación, como por ejemplo user id, que se utiliza para buscar un usuario para la verificación de contraseña.

Nota: Los atributos de identificación de usuario distinguen entre mayúsculas y minúsculas. El atributo samAccountName predeterminado se aplica a las versiones anteriores de Windows Active Directory. En « Active Directory » de 2016 y versiones posteriores, el atributo es sAMAAccountName.

Clase de objeto

Este atributo es una lista de clases de objeto separadas por comas que el usuario de LDAP puede tener. Las clases de objeto se utilizan con el atributo username para buscar un usuario para la verificación de contraseña.

• Un nombre exclusivo y reconocible para el agente
• Descripción
• Un nombre para mostrar del proveedor de identidades
• Un dominio para el proveedor de identidad

• ./jsconfig/ - La ubicación de los archivos de configuración.
• ./jsplugins/ - La ubicación de los complementos de « JavaScript ».

Para que un contenedor de Docker pueda acceder a estos directorios, puedes realizar un montaje vinculado desde el sistema de archivos del host.

volumes:
                - ./jsconfig:/go/src/jsconfig:ro
                - ./jsplugins:/go/src/jsplugins:ro

{
    "pluginName": "OcPlug",
    "pluginType": "oracledb",
    "executionOrder": 1,
    "hardFail": true,
    "authenticationSource": {
      "isAuthenticationSource": true,
      "disablePrimaryLDAPLookup": false
    },
    "bindingConfig": {
      "connectionString": "oracle://system:oraclepass@host.docker.internal:1521/XE?CONNECTION TIMEOUT=5",
      "maxPoolSize": 50,
      "minPoolSize": 10,
      "agedTimeout": 60,
      "maxIdleTime": 10
    },
    "custom": {
      "table": "users"
    }
  }

{
    "pluginName": "plugin1",
    "pluginType": "ldap",
    "executionOrder": 1,
    "hardFail": false,
    "authenticationSource": {
      "isAuthenticationSource": true,
      "disablePrimaryLDAPLookup": false
    },
    "bindingConfig": {
      "bindDn": "cn=admin,dc=ibm,dc=com",
      "bindPassword": "pass",
      "uris": [
        "ldaps://localhost:8636",
        "ldap://localhost:8389"
      ],
      "maxPoolSize": 50,
      "agedTimeout": 60,
      "connectTimeout": 5,
      "filter": "(|(|(objectclass=ePerson)(objectclass=person))(objectclass=User))", 
      "userObjectClasses": "top,Person,organizationalPerson,inetOrgPerson",
      "selector": "objectClass,cn,sn,givenName,userPassword,streetAddress,seeAlso,mobile", 
      "userIdentifier": "uid",
      "baseDn": "dc=ibm,dc=com",
      "tlsConfig": {
        "caCert": "-----BEGIN CERTIFICATE-----\nMIIDbzCCAlegAwIBAgIULjAe6hySQZ8C8d1LnWKHlpirro4wDQYJKoZIhvcNAQEL\nBQAwRzELMAkGA1UEBhMC…",
        "insecureSkipVerify": false,
        "tlsMinVersion": 0,
        "clientCertLabel": "extauthn.client"
      }
    },
    "custom": {
      "table": "users"
    }
  }

Db2

HOSTNAME=host.docker.internal;PORT=50000;UID=db2inst1;PWD=db2_password;DATABASE=usersdb"

PostgreSQL

host=host.docker.internal port=8788 dbname=postgres user=postgres password=postgrespassword connect_timeout=5

LDAP TLS

caCert.Para utilizar TLS para conectarse a LDAP a través de un complemento de JavaScript, asegúrate de especificar el ldaps:// en la uris sección y de indicar una válida.

"uris": [
        "ldaps://localhost:8636"
      ],

Para ejecutar MTLS desde un complemento de LDAP, puedes colocar el certificado de cliente y la clave privada del certificado de cliente en el /cert/ directorio de tu contenedor utilizando montajes vinculados.

- ./cert/:/cert:ro

Asegúrate de que los nombres de los certificados tengan el formato <clientCertLabel>_cert.pem y <clientCertLabel>_key.pem, donde clientCertLabel es el clientCertLabel especificado en la configuración del complemento para los complementos de LDAP.