linux - OpenLDAP 如何添加策略 : Password must differ in at least 2 characters from previous password?

Question

我正在尝试在 OpenLDAP 中实现密码策略。

到目前为止，这是我的 LDIF 的样子:

dn: cn=module{0},cn=config
changeType: modify
add: olcModuleLoad
olcModuleLoad: ppolicy

dn: olcOverlay=ppolicy,olcDatabase={1}hdb,cn=config
objectClass: olcPpolicyConfig
olcOverlay: ppolicy
olcPPolicyDefault: cn=ppolicy,dc=ldaptuto,dc=net
olcPPolicyUseLockout: FALSE
olcPPolicyHashCleartext: TRUE

dn: cn=ppolicy,dc=ldaptuto,dc=net
objectClass: device
objectClass: pwdPolicyChecker
objectClass: pwdPolicy
cn: ppolicy
pwdAllowUserChange: TRUE
pwdAttribute: userPassword
pwdMinLength: 10
pwdCheckQuality: 1
pwdInHistory: 5
pwdMustChange: TRUE
pwdMaxAge: 7776000
pwdMaxFailure: 10
pwdLockout: TRUE
pwdLockoutDuration: 1800

我需要确保当用户更改密码时，新密码至少与旧密码有两个不同之处。

我没有在 LDAP wiki 中找到与此相关的任何策略设置。我也试过在网上搜索没有结果。

我想我可以编写自己的密码检查程序，比如 this ，但是，我没有看到在检查过程中使用了旧密码。

在 OpenLDAP 中如何实现确保新密码与旧密码至少有 2 个位置不同的策略？

Answer 1

你必须

1. 在 pwdPolicy 条目中设置 pwdSafeModify: TRUE
2. 始终使用密码修改扩展操作更改密码(请参阅 RFC 3062)同时发送旧用户密码(请参阅 ASN.1 字段 oldPasswd)

那么你自己的pwdChecker模块在处理扩展操作请求的时候也会收到旧密码。