Configurando um agente de identidade para autenticação usando várias fontes de atributos

"authenticationSource":{
"isAuthenticationSource": false,
      "disablePrimaryLDAPLookup": false
    },

URI do host LDAP externo

Esse atributo se trata das informações de conexão do servidor LDAP local. Para uma configuração de failover de LDAP, é possível incluir vários URIs do servidor LDAP, selecionando INCLUIR URI.

Base

Esse atributo é a base de procura de contêiner LDAP para usuários.

DN de ligação LDAP

Esse atributo é o usuário de conexão do servidor LDAP.

Senha de ligação LDAP

Esse atributo é a senha de conexão do servidor ldap.

Certificado de autoridade de certificação LDAP

Esse atributo opcional é o certificado SSL que é usado se o agente no local requer uma conexão TLS com o servidor LDAP.

Visualizar configurações adicionais

É possível definir as configurações a seguir.

• Ative se o LDAP requer TLS.
• O número máximo de conexões LDAP simultâneas para o servidor LDAP.
• Por quanto tempo uma autenticação de senha bem-sucedida fica armazenada em cache.
• Quanto tempo a conexão é mantida.
• O tempo inativo antes que o servidor LDAP encerre uma conexão.
• O tempo máximo para processar uma solicitação.

Atributos

Esse atributo é uma lista de atributos de usuário LDAP separados por vírgula que são retornados de uma operação de verificação de senha bem-sucedida. Para atributos de primária LDAP, use o nome de atributo LDAP. Para fontes de dados alternativas, anteponha ao nome dos atributos do usuário o nome do plug-in JavaScript que deverá retornar os atributos no formato pluginName-Attribute.. Por exemplo, se você configurar

"pluginName": "OcPlug",

nesse caso, quaisquer atributos retornados pelo OcPlug devem ser precedidos pelo prefixo OcPlug-. Por exemplo, OcPlugin-mobile instrui o plug-in OcPlug JavaScript a recuperar o valor do celular.

Os atributos devem ser separados por vírgulas. Por exemplo,

givenName, sh, displayName, manager, mail, mobile,
memberOf, uid, OcPlug-OCD_SPEC_ID, db2PLUG-
XTENDEDATTR, ldap-seeAlso

Nota: O exemplo mostra como definir os atributos do plug-in. Os atributos sem prefixo, como givenName, sn, displayName, manager, mail, mobile memberOf,, e uid , são obtidos do arquivo principal LDAP. seeAlsoOCD_SPEC_IDOcPlug retorna o atributo, o db2Plug retorna o atributo XTENDEDATTR e o plug-in “ldap” retorna o atributo.

Atributos binários

Esse atributo é uma lista de atributos de usuário LDAP binários separados por vírgula que são retornados de uma operação de verificação de senha bem-sucedida.

Atributo de nome do usuário

Esse atributo é o atributo de nomenclatura, tal como user id, que é usado para consultar um usuário para verificação de senha.

Observação: os atributos de identificação do nome de usuário diferenciam maiúsculas de minúsculas. O atributo samAccountName padrão se aplica às versões anteriores do Windows Active Directory. No Active Directory 2016 e versões posteriores, o atributo é sAMAAccountName.

Classe de Objeto

Esse atributo é uma lista de classes de objeto separadas por vírgula que o usuário LDAP pode ter. As classes de objeto são usadas com o atributo username para consultar um usuário para verificação de senha.

• Um nome exclusivo e reconhecível para o agente
• Uma descrição
• Um nome de exibição para o provedor de identidade
• Um domínio para o provedor de identidade

• ./jsconfig/ - A localização dos arquivos de configuração.
• ./jsplugins/ - A localização dos plug-ins do JavaScript.

Para disponibilizar esses diretórios para um contêiner Docker, você pode realizar uma montagem de ligação a partir do sistema de arquivos do host.

volumes:
                - ./jsconfig:/go/src/jsconfig:ro
                - ./jsplugins:/go/src/jsplugins:ro

{
    "pluginName": "OcPlug",
    "pluginType": "oracledb",
    "executionOrder": 1,
    "hardFail": true,
    "authenticationSource": {
      "isAuthenticationSource": true,
      "disablePrimaryLDAPLookup": false
    },
    "bindingConfig": {
      "connectionString": "oracle://system:oraclepass@host.docker.internal:1521/XE?CONNECTION TIMEOUT=5",
      "maxPoolSize": 50,
      "minPoolSize": 10,
      "agedTimeout": 60,
      "maxIdleTime": 10
    },
    "custom": {
      "table": "users"
    }
  }

{
    "pluginName": "plugin1",
    "pluginType": "ldap",
    "executionOrder": 1,
    "hardFail": false,
    "authenticationSource": {
      "isAuthenticationSource": true,
      "disablePrimaryLDAPLookup": false
    },
    "bindingConfig": {
      "bindDn": "cn=admin,dc=ibm,dc=com",
      "bindPassword": "pass",
      "uris": [
        "ldaps://localhost:8636",
        "ldap://localhost:8389"
      ],
      "maxPoolSize": 50,
      "agedTimeout": 60,
      "connectTimeout": 5,
      "filter": "(|(|(objectclass=ePerson)(objectclass=person))(objectclass=User))", 
      "userObjectClasses": "top,Person,organizationalPerson,inetOrgPerson",
      "selector": "objectClass,cn,sn,givenName,userPassword,streetAddress,seeAlso,mobile", 
      "userIdentifier": "uid",
      "baseDn": "dc=ibm,dc=com",
      "tlsConfig": {
        "caCert": "-----BEGIN CERTIFICATE-----\nMIIDbzCCAlegAwIBAgIULjAe6hySQZ8C8d1LnWKHlpirro4wDQYJKoZIhvcNAQEL\nBQAwRzELMAkGA1UEBhMC…",
        "insecureSkipVerify": false,
        "tlsMinVersion": 0,
        "clientCertLabel": "extauthn.client"
      }
    },
    "custom": {
      "table": "users"
    }
  }

Db2

HOSTNAME=host.docker.internal;PORT=50000;UID=db2inst1;PWD=db2_password;DATABASE=usersdb"

PostgreSQL

host=host.docker.internal port=8788 dbname=postgres user=postgres password=postgrespassword connect_timeout=5

LDAP TLS

caCert.Para usar o TLS para se conectar ao LDAP por meio de um plug-in do JavaScript, certifique-se de especificar o ldaps:// na seção uris e definir um válido.

"uris": [
        "ldaps://localhost:8636"
      ],

Para executar o MTLS a partir de um plug-in do LDAP, você pode colocar o certificado do cliente e a chave privada do certificado do cliente no /cert/ diretório do seu contêiner usando montagens de ligação.

- ./cert/:/cert:ro

Certifique-se de que os nomes dos certificados estejam no formato <clientCertLabel>_cert.pem e <clientCertLabel>_key.pem, onde clientCertLabel é o clientCertLabel especificado na configuração do plug-in para os plug-ins do LDAP.