#### Core

Dieses Modul ist die allgemeine Konfigurationsbasis für die Authentifizierungsdienste von OpenSSO. Es muss für die einzelnen Authentifizierungsmodulinstanzen registriert und konfiguriert sein. In diesem Modul legt der Administrator Standardwerte fest, die für Werte übernommen werden, welche nicht explizit in den Standard-Authentifizierungsmodulen von OpenSSO angegeben sind. Bei den Kern-Attributen handelt es sich sowohl um globale als auch um Bereichsattribute. Es existieren folgende Attribute:

- PAM-Klassen (Pluggable Authentification Module)

- Unterstützte Authentifizierungsmodule für Clients

- LDAP-Verbindung Pool-Größe

- LDAP-Verbindung Standard-Pool-Größe

- Benutzerprofil

- Administrator-Authentifizierungskonfiguration

- Standardrollen für dynamisches Erstellen von Benutzerprofilen

- Modus für persistentes Cookie

- Maximaler Zeitraum für persistentes Cookie

- Attributname für Aliassuche

- Standard-Authentifizierungs-Ländereinstellung

- Konfiguration der Organisationsauthentifizierung

- Anmeldefehler Sperrmodus

- Anmeldefehler Sperrzählung

- Anmeldefehler Sperrintervall

- E-Mail-Adresse für das Versenden der Sperrbenachrichtigung

- Benutzer nach n Fehlern warnen

- Anmeldefehler Sperrdauer

- Sperrattributname

- Sperrattributwert

- Standard-URL für erfolgreiche Anmeldung

- Standard-URL für erfolglose Anmeldung

- Nachverarbeitungs-Authentifizierungsklasse

- Modus für UserID-Erzeugung

- Plugfähige Generator-Klasse für Benutzernamen

- Identitätstypen

- Ersetzbare Benutzerstatus-Ereignisklassen

- Ungültige Versuche im Data Store speichern

- Modulbasierte Authentifizierung

- Standard-Authentifizierungsebene

##### PAM-Klassen (Pluggable Authentification Module)

Gibt die Java-Klassen der Authentifizierungsmodule an, die für alle innerhalb der OpenSSO-Plattform konfigurierten Bereiche zur Verfügung stehen. Mit der AMLoginModule-SPI oder der JAAS LoginModule-SPI können Sie eigene Authentifizierungsmodule entwickeln. Weitere Informationen finden Sie im Handbuch für Entwickler zu OpenSSO. Zur Definition neuer Authentifizierungsdienste müssen Sie in dieses Feld den vollständigen Klassennamen (einschließlich des Paketnamens) des neuen Dienstes eingegeben.

##### Unterstützte Authentifizierungsmodule für Clients

Legt eine Liste der unterstützten Authentifizierungsmodule für einen bestimmten Client fest. Das Attribut hat folgendes Format:

`clientType | module1,module2,module3`

Dieses Attribut ist nur aktiv, wenn ";Client-Erkennung" aktiviert ist.

##### LDAP-Verbindung Pool-Größe

Gibt den Minimal- und Maximalwert des Verbindungspools an, der für einen bestimmten LDAP-Server und -Anschluss verwendet werden soll. Dieses Attribut wird nur für LDAP- und Mitgliedschafts-Authentifizierungsdienste verwendet. Das Attribut hat folgendes Format:

`host:port:min:max`

Hinweis – Dieser Verbindungspool ist nicht identisch mit dem über `serverconfig.xml` konfigurierten SDK-Verbindungspool.

##### LDAP-Verbindung Standard-Pool-Größe

Gibt den Standard-Minimal- und -Maximalwert des Verbindungspools an, der für alle Konfigurationen von LDAP-Authentifizierungsmodulen verwendet werden soll. Wenn im Attribut ";LDAP-Verbindung Pool-Größe" ein Eintrag für Host und Port vorhanden ist, werden nicht die Einstellungen für Minimum und Maximum aus "LDAP-Verbindung Standard-Pool-Größe" übernommen.

##### Benutzerprofil

Hiermit legen Sie die Optionen für ein Benutzerprofil fest. Es stehen folgende Optionen zur Verfügung:

Erforderlich

  Diese Option legt fest, dass nach der erfolgreichen Authentifizierung eines Benutzers auf dem lokalen Directory Server von OpenSSO ein entsprechendes Benutzerprofil vorhanden sein muss, damit der Authentifizierungsdienst ein SSO-Token ausstellen kann.

Dynamisch

  Diese Option legt fest, dass nach der erfolgreichen Authentifizierung eines Benutzers ein entsprechendes Benutzerprofil durch den Authentifizierungsdienst erstellt wird, sofern noch keines vorhanden ist. Das SSO-Token wird anschließend ausgestellt. Das Benutzerprofil wird auf dem lokalen Directory Server von OpenSSO erstellt.

Dynamisch mit Benutzer-Alias

  Diese Option legt fest, dass nach der erfolgreichen Authentifizierung eines Benutzers ein entsprechendes Benutzerprofil durch den Authentifizierungsdienst unter Verwendung des Attributs ";Benutzer-Alias-Liste" erstellt wird.

Ignorieren

  Diese Option legt fest, dass für die erfolgreiche Authentifizierung und die Ausstellung eines SSO-Tokens durch den Authentifizierungsdienst kein Benutzerprofil benötigt wird.

##### Sicherheit für Remoteauthentifizierung

Wenn diese Option aktiviert ist, ist es für alle Authentifizierungsanforderungen erforderlich, dass das SSOToken der Anwendung die Identität des Aufrufers überprüft, sodass die Konfigurationsinformationen von OpenSSO die gültigen Werte für Benutzernamen und Passwort für die Anwendung abrufen können.

##### Nachverarbeitungsobjekte für Abmeldungsverarbeitung beibehalten

Wenn diese Option aktiviert ist, werden die Instanzen der Nachverarbeitungs-Authentifizierungs-Plugins, die während der Anmeldungsverarbeitung verwendet werden, während der OpenSSO-Sitzung beibehalten. Wenn später die Abmeldung aufgerufen wird, wird die `onLogout` -Methode dieser Instanzen aufgerufen. Wenn dieses Attribut nicht aktiviert ist, werden die Nachverarbeitungsinstanzen aus dem Anmeldevorgang nicht beibehalten. Beim Aufrufen der Abmeldung werden neue Instanzen von Nachverarbeitungs-Plugins erstellt und die Methode `onLogout` wird aufgerufen.

##### Authentifizierungsmodulobjekte für Abmeldungsverarbeitung beibehalten

Wenn diese Option aktiviert ist, werden alle Instanzen der Authentifizierungsmodule, die während des Authentifizierungsvorgangs verwendet werden, während der OpenSSO-Sitzung beibehalten. Wenn später die Abmeldung aufgerufen wird, wird die Methode "logout/destroyModulestate" für dieselben Instanzen aufgerufen. Wenn dieses Attribut nicht aktiviert ist, werden die Instanzen des Authentifizierungsmoduls aus dem Abmeldevorgang nicht beibehalten. Beim Abmelden wird keine Methode für die Authentifizierungsmodule aufgerufen.

##### Administrator-Authentifizierungskonfiguration

Legt den Authentifizierungsdienst für Administratoren fest. Dieses Attribut kann verwendet werden, wenn für Administratoren ein anderes Authentifizierungsmodul verwendet werden soll als für Endbenutzer. Die in diesem Attribut konfigurierten Module werden beim Zugriff auf die OpenSSO-Konsole übernommen. Beispiel:

`http://`servername.port/console_deploy_uri``

##### Standardrollen für dynamisches Erstellen von Benutzerprofilen

Dieses Feld gibt an, welche Rollen einem neuen Benutzer bei der Profilerstellung zugewiesen werden, wenn im Benutzerprofil die Option ";Dynamische Erstellung" gewählt wurde. Es gibt keinen Standardwert. Der Administrator muss die DNs der Rollen angeben, die selbst-registrierten Benutzer zugewiesen werden sollen.

Hinweis – Die angegebene Rolle muss unter dem Bereich liegen, für den die Authentifizierung konfiguriert wird. Diese Rolle kann eine OpenSSO- oder LDAP-Rolle, jedoch keine gefilterte Rolle sein.

Wenn dem Benutzer automatisch bestimmte Dienste zugewiesen werden sollen, müssen Sie im Benutzerprofil das Attribut ";Erforderliche Dienste" konfigurieren.

##### Modus für persistentes Cookie

Legt fest, ob Benutzer nach einem Browser-Neustart zu einer bereits authentifizierten Sitzung zurückkehren können. Wenn die Option ";Modus für persistentes Cookie aktivieren" aktiviert ist, bleiben Benutzersitzungen erhalten. Konkret bewirkt das Aktivieren der Option ";Modus für persistentes Cookie aktivieren", dass die Benutzersitzung erst dann abläuft, wenn das zugehörige persistente Cookie ungültig wird oder der Benutzer sich explizit abmeldet. Die Ablaufzeit ist unter ";Maximaler Zeitraum für persistentes Cookie" festgelegt. In der Standardeinstellung ist der ";Modus für persistentes Cookie" deaktiviert und der Authentifizierungsdienst verwendet nur die im Speicher abgelegten Cookies.

Hinweis – Ein persistentes Cookie muss vom Client unter Verwendung des Parameters iPSPCookie=yes im Anmelde-URL explizit angefordert werden.

##### Maximaler Zeitraum für persistentes Cookie

Gibt an, nach wie vielen Sekunden ein persistentes Cookie abläuft. Der angegebene Zeitraum beginnt, sobald die Authentifizierung der Benutzersitzung erfolgreich abgeschlossen wurde. Der Maximalwert beträgt 2147483647 (Sekunden). In diesem Feld ist jede ganze Zahl unter dem Maximalwert zulässig.

##### Attributname für Aliassuche

Nach der erfolgreichen Authentifizierung eines Benutzers wird sein Profil abgerufen. In diesem Feld wird ein zweites LDAP-Attribut angegeben, das für die Suche nach einem übereinstimmenden Benutzerprofil verwendet wird, wenn die Suche unter Verwendung des ersten LDAP-Attributs nicht erfolgreich ist. Dieses Attribut wird in erster Linie verwendet, wenn die vom Authentifizierungsmodul ermittelte Benutzerkennung nicht mit der unter Benutzer-Namensattribut angegebenen Kennung übereinstimmt. Beispiel: Der RADIUS-Server gibt den Wert `abc1234` zurück, der Benutzername lautet jedoch `abc`. Für dieses Attribut gibt es keinen Standardwert.

In diesem Feld ist jedes gültige LDAP-Attribut zulässig (beispielsweise ";cn").

##### Standard-Authentifizierungs-Ländereinstellung

Gibt an, welchen Sprachenuntertyp der Authentifizierungsdienst standardmäßig verwendet. Der Standardwert ist en_US. Eine Liste der gültigen Sprachen finden Sie unter Unterstützte Sprach- bzw. Ländereinstellungen.

Um eine andere Ländereinstellung verwenden zu können, müssen zunächst alle Authentifizierungsvorlagen für die betreffende Ländereinstellung erstellt werden. Anschließend muss ein neues Verzeichnis für diese Vorlagen angelegt werden. Weitere Informationen finden Sie im Administration Guide unter ";Login URL Parameters".

##### Konfiguration der Organisationsauthentifizierung

Legt das Authentifizierungsmodul der Organisation fest. Standardmäßig wird das Authentifizierungsmodul LDAP verwendet.

##### Anmeldefehler Sperrmodus

Legt fest, ob ein Benutzer einen zweiten Authentifizierungsversuch erhält, sollte der erste Versuch fehlschlagen. Mit diesem Attribut aktivieren Sie einen Sperrmodus, der dem Benutzer nur einen Authentifizierungsversuch einräumt. Der Sperrmodus ist standardmäßig deaktiviert. Dieses Attribut wird in Kombination mit anderen Sperr- und Benachrichtigungsattributen verwendet.

##### Anmeldefehler Sperrzählung

Legt die Anzahl der Authentifizierungsversuche fest, die dem Benutzer innerhalb des im Attribut Anmeldefehler Sperrintervall festgelegten Zeitraums eingeräumt werden, bevor der Benutzer gesperrt wird.

##### Anmeldefehler Sperrintervall

Legt die Zeit fest, innerhalb der der Sperrzähler heraufgesetzt wird, wenn zwei aufeinanderfolgende Anmeldeversuche fehlschlagen. Wenn eine Anmeldung fehlschlägt und innerhalb des Sperrintervalls ein weiterer fehlgeschlagener Anmeldeversuch erfolgt, wird der Sperrzähler heraufgesetzt. Erfolgt innerhalb des Intervalls kein weiterer fehlgeschlagener Anmeldeversuch, wird der Sperrzähler zurückgesetzt.

##### E-Mail-Adresse für das Versenden der Sperrbenachrichtigung

Gibt die E-Mail-Adresse an, an die eine Nachricht gesendet wird, wenn ein Benutzer gesperrt wird. Mehrere Adressen, an die Nachrichten gesendet werden sollen, müssen durch Leerzeichen getrennt werden. Bei einer nicht englischen Ländereinstellung gilt folgendes Format:

`email_address|locale|charset`

##### Benutzer nach n Fehlern warnen

Legt die Anzahl der fehlgeschlagenen Authentifizierungsversuche fest, nach denen OpenSSO den Benutzer warnt, dass er gesperrt wird.

##### Anmeldefehler Sperrdauer

Aktiviert die Arbeitsspeichersperre. Standardmäßig deaktiviert der Sperrmechanismus nach einem fehlgeschlagenen Anmeldeversuch das unter Sperrattributname angegebene Benutzerprofil. Wenn der Wert von ";Anmeldefehler Sperrdauer" größer als 0 ist, werden die Arbeitsspeichersperre und das Benutzerkonto für die angegebene Dauer (in Minuten) gesperrt.

##### Multiplikator für Sperrdauer

Dieses Attribut definiert den Wert, mit dem die Sperrdauer bei Anmeldefehler für jede auf einander folgende Sperrung multipliziert wird. Beispiel: Wenn "Anmeldefehler Sperrdauer" auf 3 Minuten gesetzt ist und "Multiplikator für Sperrdauer" auf 2, wird der das Konto 6 Minuten lang für den Benutzer gesperrt.

##### Sperrattributname

Legt ein beliebiges LDAP-Attribut fest, das für die Sperre eingerichtet werden soll. Um die Sperre für diesen Attributnamen zu ermöglichen, muss auch der Wert des Attributs Sperrattributwert geändert werden. Standardmäßig ist das Attribut "Sperrattributname" in der OpenSSO-Konsole leer. Die Standard-Implementierungswerte sind inetuserstatus (LDAP-Attribut) und Inaktiv, wenn der Benutzer gesperrt ist und ";Anmeldefehler Sperrdauer" auf 0 gesetzt ist.

##### Sperrattributwert

Legt fest, ob die Sperre für das in ";Sperrattributname" angegebene Attribut aktiviert oder deaktiviert ist. Standardmäßig ist dieses Attribut für inetuserstatus deaktiviert.

##### Standard-URL für erfolgreiche Anmeldung

Hier können Sie mehrere URLs eingeben, zu denen der Benutzer nach einer erfolgreichen Authentifizierung umgeleitet wird. Das Format dieses Attributs lautet `clientType|URL`. Sie können auch nur den Wert des URL angeben, der einen HTML-Standardtyp annimmt. Der Standardwert lautet /amserver/console .

##### Standard-URL für erfolglose Anmeldung

Hier können Sie mehrere URLs eingeben, zu denen der Benutzer nach einer fehlgeschlagenen Authentifizierung umgeleitet wird. Das Format dieses Attributs lautet `clientType|URL`. Sie können auch nur den Wert des URL angeben, der einen HTML-Standardtyp annimmt.

##### Nachverarbeitungs-Authentifizierungsklasse

Gibt den Namen der Java-Klasse an, die zur Anpassung der Nachverarbeitungsvorgänge nach einer erfolgreichen oder fehlgeschlagenen Anmeldung verwendet wird. Beispiel:

`com.abc.authentication.PostProcessClass`

Die Java-Klasse muss folgende Java-Schnittstelle implementieren:

`com.sun.identity.authentication.spi.AMPostAuthProcessInterface`

Außerdem müssen Sie im Java Classpath-Attribut des Web Servers den Pfad der Klasse angeben.

##### Modus für UserID-Erzeugung

Dieses Attribut wird vom Mitgliedschafts-Authentifizierungsmodul verwendet. Wenn dieses Attributfeld aktiviert ist, kann das Mitgliedschaftsmodul für Benutzer, die sich selbst registrieren, neue Benutzer-IDs generieren, falls deren Benutzer-IDs bereits vorhanden sind. Die Benutzer-IDs werden mit der im Attribut Plugfähige Generator-Klasse für Benutzernamen angegebenen Java-Klasse generiert.

##### Plugfähige Generator-Klasse für Benutzernamen

Gibt den Namen der Java-Klasse an, die für die Generierung von Benutzer-IDs verwendet wird, wenn Generierung des UserID-Modus aktivieren aktiviert ist.

##### Identitätstypen

Gibt den bzw. die Identitätstypen an, nach denen OpenSSO sucht.

##### Ersetzbare Benutzerstatus-Ereignisklassen

Erweitert die Authentifizierungs-SPIs um einen Rückruf-Mechanismus für Benutzerstatusänderungen während der Authentifizierung. Folgende Statusänderungen werden unterstützt:

`account lockout`

  Das Kontosperre-Ereignis ist für alle Authentifizierungsmodule verfügbar. Die Funktion wird über das Attribut Anmeldefehler Sperrmodus konfiguriert.

`password change`

  Dieses Ereignis ist nur für den LDAP-Authentifizierungsmodultyp verfügbar, da eine Passwortänderung nur von diesem Modul unterstützt wird.

##### Ungültige Versuche im Data Store speichern

Wenn dieses Attribut aktiviert ist, ist die gemeinsame Nutzung fehlgeschlagener Anmeldeversuche in einem Identitäts-Repository möglich, das von mehreren OpenSSO-Instanzen gemeinsam genutzt wird. Wenn beispielsweise Directory Server als Identitäts-Repository für eine bestimmte Bereitstellung verwendet wird, werden die ungültigen Versuche in `sunAMAuthInvalidAttemptsData` gespeichert (gehört zur Objektklasse `sunAMAuthAccountLockout).` Das Format der Daten wird gespeichert als:

`<InvalidPassword><InvalidCount></InvalidCount><LastInvalidAt></LastInvalidAt> <LockedoutAt></LockedoutAt><ActualLockoutDuration></ActualLockoutDuration></InvalidPassword>`

Diese Informationen werden für jeden Benutzer im Directory Server aufrechterhalten. Beim Auftreten ungültiger Versuche wird `<InvalidCount>` jeweils erhöht.

##### Modulbasierte Authentifizierung

Wenn dieses Attribut aktiviert ist, können sich die Benutzer über modulbasierte Authentifizierung anmelden. Wenn dieses Attribut nicht aktiviert ist, ist modulbasierte Anmeldung nicht zulässig. Sämtliche Anmeldeversuche mit `module=<` Modulinstanzname`>` schlagen fehl.

##### Benutzerattributzuordnung zu Sitzungsattribut

Dadurch können die Attribute als Sitzungseigenschaften vom authentifizierenden Benutzerprofil (im Datenspeicher gespeichert) für das SSOToken des Benutzers festgelegt werden. Das Format lautet:

`Benutzerprofilattribut|Sitzungsattributname`

Wenn der `Sitzungsattributname` nicht angegeben wurde, wird der Eigenschaftsname für die Sitzung als Wert des Benutzerprofilattributs abgerufen. Alle Sitzungsattribute enthalten das Präfix am.`protected` , um sicherzustellen, dass sie nicht über das Client-SDK bearbeitet werden können.

##### Standard-Authentifizierungsebene

Mit dem Wert für die Authentifizierungsebene wird angegeben, wie stark einer Authentifizierung vertraut wird. Sobald ein Benutzer authentifiziert wurde, wird der Wert im SSO-Token der aktuellen Sitzung gespeichert. Wird das SSO-Token einer Anwendung vorgelegt, auf die der Benutzer zugreifen möchte, kann die Anwendung anhand des gespeicherten Werts bestimmen, ob die Authentifizierungsebene ausreicht, um dem Benutzer Zugriff zu gewähren. Wenn die im SSO-Token gespeicherte Authentifizierungsebene nicht den erforderlichen Mindestwert aufweist, wird der Benutzer aufgefordert, sich erneut über einen Dienst mit einer höheren Authentifizierungsebene zu authentifizieren.

Die Authentifizierungsebene sollte in der Authentifizierungsvorlage des jeweiligen Bereichs festgelegt sein. Der im Attribut ";Standard-Authentifizierungsebene" eingegebene Wert wird nur verwendet, wenn im Feld "Authentifizierungsebene" der Authentifizierungsvorlage eines Bereichs kein Wert angegeben wurde. The Default Authentication Level default value is 0. (Der Wert für dieses Attribut wird nicht von OpenSSO, sondern von einer externen Anwendung, für die es ausgewählt werden kann, verwendet.)