配置身份代理程序以使用多个属性源进行认证

"authenticationSource":{
"isAuthenticationSource": false,
      "disablePrimaryLDAPLookup": false
    },

外部 LDAP 主机 URI

此属性是本地 LDAP 服务器连接信息。 对于集群 LDAP 故障转移设置，可以通过选择添加 URI 来添加多个 LDAP 服务器 URI。

基本

此属性是用户的 LDAP 容器搜索条件。

LDAP 绑定 DN

此属性是 LDAP 服务器连接用户。

LDAP 绑定密码

此属性是 LDAP 服务器连接密码。

LDAP 认证中心证书

此可选属性是在本地代理程序需要与 LDAP 服务器进行 TLS 连接时使用的 SSL 证书。

查看其他设置

您可以定义以下设置。

• 启用 LDAP 是否需要 TLS。
• LDAP 服务器的最大同时 LDAP 连接数。
• 对成功的密码认证进行高速缓存的时间长度。
• 保持连接的时长。
• 在 LDAP 服务器关闭连接之前的空闲时间。
• 处理请求的最长时间。

属性

此属性是从成功密码验证操作返回的 LDAP 用户属性的逗号分隔列表。 对于主 LDAP 属性，请使用 LDAP 属性名称。 对于其他数据源，请在用户属性名称前加上 JavaScript 插件的名称，该插件应按 pluginName-Attribute. 格式返回属性。 例如，如果设置

"pluginName": "OcPlug",

那么 OcPlug 返回的任何属性都必须以 OcPlug-作为前缀。 例如， OcPlugin-mobile 指示 JavaScript 插件 OcPlug 检索移动值。

属性必须以逗号分隔。 例如，

givenName, sh, displayName, manager, mail, mobile,
memberOf, uid, OcPlug-OCD_SPEC_ID, db2PLUG-
XTENDEDATTR, ldap-seeAlso

注: 此示例演示如何指定插件属性。 不带前缀的属性 (例如 givenName， sn， displayName， manager， mail， mobile， memberOf和 uid ) 源自主 LDAP。 OcPlug 返回属性 OCD_SPEC_ID， db2Plug 返回属性 XTENDEDATTR ，插件 "ldap" 返回属性 seeAlso。

二进制属性

此属性是从成功密码验证操作返回的二进制 LDAP 用户属性的逗号分隔列表。

用户名属性

此属性是用于查找用户以进行密码验证的命名属性，例如 user id。

注: 用户名标识属性区分大小写。 缺省属性 samAccountName 适用于 Windows Active Directory的较早版本。 对于 Active Directory 2016 和更高版本，属性为 sAMAAccountName。

对象类

此属性是 LDAP 用户可以具有的对象类的逗号分隔列表。 对象类和 username 属性配合用于查找用户以进行密码验证。

• 代理程序的唯一可识别名称
• 描述
• 身份 提供者 的显示名称
• 身份 提供者 的域

• ./jsconfig/ -配置文件的位置。
• ./jsplugins/ - JavaScript 插件的位置。

要使这些目录可供 Docker 容器使用，可以从主机文件系统执行绑定安装。

volumes:
                - ./jsconfig:/go/src/jsconfig:ro
                - ./jsplugins:/go/src/jsplugins:ro

{
    "pluginName": "OcPlug",
    "pluginType": "oracledb",
    "executionOrder": 1,
    "hardFail": true,
    "authenticationSource": {
      "isAuthenticationSource": true,
      "disablePrimaryLDAPLookup": false
    },
    "bindingConfig": {
      "connectionString": "oracle://system:oraclepass@host.docker.internal:1521/XE?CONNECTION TIMEOUT=5",
      "maxPoolSize": 50,
      "minPoolSize": 10,
      "agedTimeout": 60,
      "maxIdleTime": 10
    },
    "custom": {
      "table": "users"
    }
  }

{
    "pluginName": "plugin1",
    "pluginType": "ldap",
    "executionOrder": 1,
    "hardFail": false,
    "authenticationSource": {
      "isAuthenticationSource": true,
      "disablePrimaryLDAPLookup": false
    },
    "bindingConfig": {
      "bindDn": "cn=admin,dc=ibm,dc=com",
      "bindPassword": "pass",
      "uris": [
        "ldaps://localhost:8636",
        "ldap://localhost:8389"
      ],
      "maxPoolSize": 50,
      "agedTimeout": 60,
      "connectTimeout": 5,
      "filter": "(|(|(objectclass=ePerson)(objectclass=person))(objectclass=User))", 
      "userObjectClasses": "top,Person,organizationalPerson,inetOrgPerson",
      "selector": "objectClass,cn,sn,givenName,userPassword,streetAddress,seeAlso,mobile", 
      "userIdentifier": "uid",
      "baseDn": "dc=ibm,dc=com",
      "tlsConfig": {
        "caCert": "-----BEGIN CERTIFICATE-----\nMIIDbzCCAlegAwIBAgIULjAe6hySQZ8C8d1LnWKHlpirro4wDQYJKoZIhvcNAQEL\nBQAwRzELMAkGA1UEBhMC…",
        "insecureSkipVerify": false,
        "tlsMinVersion": 0,
        "clientCertLabel": "extauthn.client"
      }
    },
    "custom": {
      "table": "users"
    }
  }

Db2

HOSTNAME=host.docker.internal;PORT=50000;UID=db2inst1;PWD=db2_password;DATABASE=usersdb"

PostgreSQL

host=host.docker.internal port=8788 dbname=postgres user=postgres password=postgrespassword connect_timeout=5

LDAP TLS

要使用 TLS 通过 JavaScript 插件连接到 LDAP ，请确保在 uris 部分中指定 ldaps:// 并指定有效的 caCert.。

"uris": [
        "ldaps://localhost:8636"
      ],

要从 LDAP 插件执行 MTLS ，可以使用绑定安装将客户机证书和客户机证书专用于容器的 /cert/ 目录。

- ./cert/:/cert:ro

确保证书名称的格式为 <clientCertLabel>_cert.pem 和 <clientCertLabel>_key.pem，其中 clientCertLabel 是 LDAP 插件的插件配置中指定的 clientCertLabel 。