Dieses Modul ist die allgemeine Konfigurationsbasis für die Authentifizierungsdienste von OpenSSO. Es muss für die einzelnen Authentifizierungsmodulinstanzen registriert und konfiguriert sein. In diesem Modul legt der Administrator Standardwerte fest, die für Werte übernommen werden, welche nicht explizit in den Standard-Authentifizierungsmodulen von OpenSSO angegeben sind. Bei den Kern-Attributen handelt es sich sowohl um globale als auch um Bereichsattribute. Es existieren folgende Attribute:
Gibt die Java-Klassen der Authentifizierungsmodule an, die für alle innerhalb der OpenSSO-Plattform konfigurierten Bereiche zur Verfügung stehen. Mit der AMLoginModule-SPI oder der JAAS LoginModule-SPI können Sie eigene Authentifizierungsmodule entwickeln. Weitere Informationen finden Sie im Handbuch für Entwickler zu OpenSSO. Zur Definition neuer Authentifizierungsdienste müssen Sie in dieses Feld den vollständigen Klassennamen (einschließlich des Paketnamens) des neuen Dienstes eingegeben.
Legt eine Liste der unterstützten Authentifizierungsmodule für einen bestimmten Client fest. Das Attribut hat folgendes Format:
clientType | module1,module2,module3
Dieses Attribut ist nur aktiv, wenn ";Client-Erkennung" aktiviert ist.
Gibt den Minimal- und Maximalwert des Verbindungspools an, der für einen bestimmten LDAP-Server und -Anschluss verwendet werden soll. Dieses Attribut wird nur für LDAP- und Mitgliedschafts-Authentifizierungsdienste verwendet. Das Attribut hat folgendes Format:
host:port:min:max
Hinweis – Dieser Verbindungspool ist nicht identisch mit dem über serverconfig.xml konfigurierten SDK-Verbindungspool.
Gibt den Standard-Minimal- und -Maximalwert des Verbindungspools an, der für alle Konfigurationen von LDAP-Authentifizierungsmodulen verwendet werden soll. Wenn im Attribut ";LDAP-Verbindung Pool-Größe" ein Eintrag für Host und Port vorhanden ist, werden nicht die Einstellungen für Minimum und Maximum aus "LDAP-Verbindung Standard-Pool-Größe" übernommen.
Hiermit legen Sie die Optionen für ein Benutzerprofil fest. Es stehen folgende Optionen zur Verfügung:
Diese Option legt fest, dass nach der erfolgreichen Authentifizierung eines Benutzers auf dem lokalen Directory Server von OpenSSO ein entsprechendes Benutzerprofil vorhanden sein muss, damit der Authentifizierungsdienst ein SSO-Token ausstellen kann.
Diese Option legt fest, dass nach der erfolgreichen Authentifizierung eines Benutzers ein entsprechendes Benutzerprofil durch den Authentifizierungsdienst erstellt wird, sofern noch keines vorhanden ist. Das SSO-Token wird anschließend ausgestellt. Das Benutzerprofil wird auf dem lokalen Directory Server von OpenSSO erstellt.
Diese Option legt fest, dass nach der erfolgreichen Authentifizierung eines Benutzers ein entsprechendes Benutzerprofil durch den Authentifizierungsdienst unter Verwendung des Attributs ";Benutzer-Alias-Liste" erstellt wird.
Diese Option legt fest, dass für die erfolgreiche Authentifizierung und die Ausstellung eines SSO-Tokens durch den Authentifizierungsdienst kein Benutzerprofil benötigt wird.
Wenn diese Option aktiviert ist, ist es für alle Authentifizierungsanforderungen erforderlich, dass das SSOToken der Anwendung die Identität des Aufrufers überprüft, sodass die Konfigurationsinformationen von OpenSSO die gültigen Werte für Benutzernamen und Passwort für die Anwendung abrufen können.
Wenn diese Option aktiviert ist, werden die Instanzen der Nachverarbeitungs-Authentifizierungs-Plugins, die während der Anmeldungsverarbeitung verwendet werden, während der OpenSSO-Sitzung beibehalten. Wenn später die Abmeldung aufgerufen wird, wird die onLogout -Methode dieser Instanzen aufgerufen. Wenn dieses Attribut nicht aktiviert ist, werden die Nachverarbeitungsinstanzen aus dem Anmeldevorgang nicht beibehalten. Beim Aufrufen der Abmeldung werden neue Instanzen von Nachverarbeitungs-Plugins erstellt und die Methode onLogout wird aufgerufen.
Wenn diese Option aktiviert ist, werden alle Instanzen der Authentifizierungsmodule, die während des Authentifizierungsvorgangs verwendet werden, während der OpenSSO-Sitzung beibehalten. Wenn später die Abmeldung aufgerufen wird, wird die Methode "logout/destroyModulestate" für dieselben Instanzen aufgerufen. Wenn dieses Attribut nicht aktiviert ist, werden die Instanzen des Authentifizierungsmoduls aus dem Abmeldevorgang nicht beibehalten. Beim Abmelden wird keine Methode für die Authentifizierungsmodule aufgerufen.
Legt den Authentifizierungsdienst für Administratoren fest. Dieses Attribut kann verwendet werden, wenn für Administratoren ein anderes Authentifizierungsmodul verwendet werden soll als für Endbenutzer. Die in diesem Attribut konfigurierten Module werden beim Zugriff auf die OpenSSO-Konsole übernommen. Beispiel:
http://servername.port/console_deploy_uri
Dieses Feld gibt an, welche Rollen einem neuen Benutzer bei der Profilerstellung zugewiesen werden, wenn im Benutzerprofil die Option ";Dynamische Erstellung" gewählt wurde. Es gibt keinen Standardwert. Der Administrator muss die DNs der Rollen angeben, die selbst-registrierten Benutzer zugewiesen werden sollen.
Hinweis – Die angegebene Rolle muss unter dem Bereich liegen, für den die Authentifizierung konfiguriert wird. Diese Rolle kann eine OpenSSO- oder LDAP-Rolle, jedoch keine gefilterte Rolle sein.
Wenn dem Benutzer automatisch bestimmte Dienste zugewiesen werden sollen, müssen Sie im Benutzerprofil das Attribut ";Erforderliche Dienste" konfigurieren.
Legt fest, ob Benutzer nach einem Browser-Neustart zu einer bereits authentifizierten Sitzung zurückkehren können. Wenn die Option ";Modus für persistentes Cookie aktivieren" aktiviert ist, bleiben Benutzersitzungen erhalten. Konkret bewirkt das Aktivieren der Option ";Modus für persistentes Cookie aktivieren", dass die Benutzersitzung erst dann abläuft, wenn das zugehörige persistente Cookie ungültig wird oder der Benutzer sich explizit abmeldet. Die Ablaufzeit ist unter ";Maximaler Zeitraum für persistentes Cookie" festgelegt. In der Standardeinstellung ist der ";Modus für persistentes Cookie" deaktiviert und der Authentifizierungsdienst verwendet nur die im Speicher abgelegten Cookies.
Hinweis – Ein persistentes Cookie muss vom Client unter Verwendung des Parameters iPSPCookie=yes im Anmelde-URL explizit angefordert werden.
Gibt an, nach wie vielen Sekunden ein persistentes Cookie abläuft. Der angegebene Zeitraum beginnt, sobald die Authentifizierung der Benutzersitzung erfolgreich abgeschlossen wurde. Der Maximalwert beträgt 2147483647 (Sekunden). In diesem Feld ist jede ganze Zahl unter dem Maximalwert zulässig.
Nach der erfolgreichen Authentifizierung eines Benutzers wird sein Profil abgerufen. In diesem Feld wird ein zweites LDAP-Attribut angegeben, das für die Suche nach einem übereinstimmenden Benutzerprofil verwendet wird, wenn die Suche unter Verwendung des ersten LDAP-Attributs nicht erfolgreich ist. Dieses Attribut wird in erster Linie verwendet, wenn die vom Authentifizierungsmodul ermittelte Benutzerkennung nicht mit der unter Benutzer-Namensattribut angegebenen Kennung übereinstimmt. Beispiel: Der RADIUS-Server gibt den Wert abc1234 zurück, der Benutzername lautet jedoch abc. Für dieses Attribut gibt es keinen Standardwert.
In diesem Feld ist jedes gültige LDAP-Attribut zulässig (beispielsweise ";cn").
Gibt an, welchen Sprachenuntertyp der Authentifizierungsdienst standardmäßig verwendet. Der Standardwert ist en_US. Eine Liste der gültigen Sprachen finden Sie unter Unterstützte Sprach- bzw. Ländereinstellungen.
Um eine andere Ländereinstellung verwenden zu können, müssen zunächst alle Authentifizierungsvorlagen für die betreffende Ländereinstellung erstellt werden. Anschließend muss ein neues Verzeichnis für diese Vorlagen angelegt werden. Weitere Informationen finden Sie im Administration Guide unter ";Login URL Parameters".
Legt das Authentifizierungsmodul der Organisation fest. Standardmäßig wird das Authentifizierungsmodul LDAP verwendet.
Legt fest, ob ein Benutzer einen zweiten Authentifizierungsversuch erhält, sollte der erste Versuch fehlschlagen. Mit diesem Attribut aktivieren Sie einen Sperrmodus, der dem Benutzer nur einen Authentifizierungsversuch einräumt. Der Sperrmodus ist standardmäßig deaktiviert. Dieses Attribut wird in Kombination mit anderen Sperr- und Benachrichtigungsattributen verwendet.
Legt die Anzahl der Authentifizierungsversuche fest, die dem Benutzer innerhalb des im Attribut Anmeldefehler Sperrintervall festgelegten Zeitraums eingeräumt werden, bevor der Benutzer gesperrt wird.
Legt die Zeit fest, innerhalb der der Sperrzähler heraufgesetzt wird, wenn zwei aufeinanderfolgende Anmeldeversuche fehlschlagen. Wenn eine Anmeldung fehlschlägt und innerhalb des Sperrintervalls ein weiterer fehlgeschlagener Anmeldeversuch erfolgt, wird der Sperrzähler heraufgesetzt. Erfolgt innerhalb des Intervalls kein weiterer fehlgeschlagener Anmeldeversuch, wird der Sperrzähler zurückgesetzt.
Gibt die E-Mail-Adresse an, an die eine Nachricht gesendet wird, wenn ein Benutzer gesperrt wird. Mehrere Adressen, an die Nachrichten gesendet werden sollen, müssen durch Leerzeichen getrennt werden. Bei einer nicht englischen Ländereinstellung gilt folgendes Format:
email_address|locale|charset
Legt die Anzahl der fehlgeschlagenen Authentifizierungsversuche fest, nach denen OpenSSO den Benutzer warnt, dass er gesperrt wird.
Aktiviert die Arbeitsspeichersperre. Standardmäßig deaktiviert der Sperrmechanismus nach einem fehlgeschlagenen Anmeldeversuch das unter Sperrattributname angegebene Benutzerprofil. Wenn der Wert von ";Anmeldefehler Sperrdauer" größer als 0 ist, werden die Arbeitsspeichersperre und das Benutzerkonto für die angegebene Dauer (in Minuten) gesperrt.
Dieses Attribut definiert den Wert, mit dem die Sperrdauer bei Anmeldefehler für jede auf einander folgende Sperrung multipliziert wird. Beispiel: Wenn "Anmeldefehler Sperrdauer" auf 3 Minuten gesetzt ist und "Multiplikator für Sperrdauer" auf 2, wird der das Konto 6 Minuten lang für den Benutzer gesperrt.
Legt ein beliebiges LDAP-Attribut fest, das für die Sperre eingerichtet werden soll. Um die Sperre für diesen Attributnamen zu ermöglichen, muss auch der Wert des Attributs Sperrattributwert geändert werden. Standardmäßig ist das Attribut "Sperrattributname" in der OpenSSO-Konsole leer. Die Standard-Implementierungswerte sind inetuserstatus (LDAP-Attribut) und Inaktiv, wenn der Benutzer gesperrt ist und ";Anmeldefehler Sperrdauer" auf 0 gesetzt ist.
Legt fest, ob die Sperre für das in ";Sperrattributname" angegebene Attribut aktiviert oder deaktiviert ist. Standardmäßig ist dieses Attribut für inetuserstatus deaktiviert.
Hier können Sie mehrere URLs eingeben, zu denen der Benutzer nach einer erfolgreichen Authentifizierung umgeleitet wird. Das Format dieses Attributs lautet clientType|URL. Sie können auch nur den Wert des URL angeben, der einen HTML-Standardtyp annimmt. Der Standardwert lautet /amserver/console .
Hier können Sie mehrere URLs eingeben, zu denen der Benutzer nach einer fehlgeschlagenen Authentifizierung umgeleitet wird. Das Format dieses Attributs lautet clientType|URL. Sie können auch nur den Wert des URL angeben, der einen HTML-Standardtyp annimmt.
Gibt den Namen der Java-Klasse an, die zur Anpassung der Nachverarbeitungsvorgänge nach einer erfolgreichen oder fehlgeschlagenen Anmeldung verwendet wird. Beispiel:
com.abc.authentication.PostProcessClass
Die Java-Klasse muss folgende Java-Schnittstelle implementieren:
com.sun.identity.authentication.spi.AMPostAuthProcessInterface
Außerdem müssen Sie im Java Classpath-Attribut des Web Servers den Pfad der Klasse angeben.
Dieses Attribut wird vom Mitgliedschafts-Authentifizierungsmodul verwendet. Wenn dieses Attributfeld aktiviert ist, kann das Mitgliedschaftsmodul für Benutzer, die sich selbst registrieren, neue Benutzer-IDs generieren, falls deren Benutzer-IDs bereits vorhanden sind. Die Benutzer-IDs werden mit der im Attribut Plugfähige Generator-Klasse für Benutzernamen angegebenen Java-Klasse generiert.
Gibt den Namen der Java-Klasse an, die für die Generierung von Benutzer-IDs verwendet wird, wenn Generierung des UserID-Modus aktivieren aktiviert ist.
Gibt den bzw. die Identitätstypen an, nach denen OpenSSO sucht.
Erweitert die Authentifizierungs-SPIs um einen Rückruf-Mechanismus für Benutzerstatusänderungen während der Authentifizierung. Folgende Statusänderungen werden unterstützt:
Das Kontosperre-Ereignis ist für alle Authentifizierungsmodule verfügbar. Die Funktion wird über das Attribut Anmeldefehler Sperrmodus konfiguriert.
Dieses Ereignis ist nur für den LDAP-Authentifizierungsmodultyp verfügbar, da eine Passwortänderung nur von diesem Modul unterstützt wird.
Wenn dieses Attribut aktiviert ist, ist die gemeinsame Nutzung fehlgeschlagener Anmeldeversuche in einem Identitäts-Repository möglich, das von mehreren OpenSSO-Instanzen gemeinsam genutzt wird. Wenn beispielsweise Directory Server als Identitäts-Repository für eine bestimmte Bereitstellung verwendet wird, werden die ungültigen Versuche in sunAMAuthInvalidAttemptsData gespeichert (gehört zur Objektklasse sunAMAuthAccountLockout). Das Format der Daten wird gespeichert als:
<InvalidPassword><InvalidCount></InvalidCount><LastInvalidAt></LastInvalidAt> <LockedoutAt></LockedoutAt><ActualLockoutDuration></ActualLockoutDuration></InvalidPassword>
Diese Informationen werden für jeden Benutzer im Directory Server aufrechterhalten. Beim Auftreten ungültiger Versuche wird <InvalidCount> jeweils erhöht.
Wenn dieses Attribut aktiviert ist, können sich die Benutzer über modulbasierte Authentifizierung anmelden. Wenn dieses Attribut nicht aktiviert ist, ist modulbasierte Anmeldung nicht zulässig. Sämtliche Anmeldeversuche mit module=< Modulinstanzname> schlagen fehl.
Dadurch können die Attribute als Sitzungseigenschaften vom authentifizierenden Benutzerprofil (im Datenspeicher gespeichert) für das SSOToken des Benutzers festgelegt werden. Das Format lautet:
Benutzerprofilattribut|Sitzungsattributname
Wenn der Sitzungsattributname nicht angegeben wurde, wird der Eigenschaftsname für die Sitzung als Wert des Benutzerprofilattributs abgerufen. Alle Sitzungsattribute enthalten das Präfix am.protected , um sicherzustellen, dass sie nicht über das Client-SDK bearbeitet werden können.
Mit dem Wert für die Authentifizierungsebene wird angegeben, wie stark einer Authentifizierung vertraut wird. Sobald ein Benutzer authentifiziert wurde, wird der Wert im SSO-Token der aktuellen Sitzung gespeichert. Wird das SSO-Token einer Anwendung vorgelegt, auf die der Benutzer zugreifen möchte, kann die Anwendung anhand des gespeicherten Werts bestimmen, ob die Authentifizierungsebene ausreicht, um dem Benutzer Zugriff zu gewähren. Wenn die im SSO-Token gespeicherte Authentifizierungsebene nicht den erforderlichen Mindestwert aufweist, wird der Benutzer aufgefordert, sich erneut über einen Dienst mit einer höheren Authentifizierungsebene zu authentifizieren.
Die Authentifizierungsebene sollte in der Authentifizierungsvorlage des jeweiligen Bereichs festgelegt sein. Der im Attribut ";Standard-Authentifizierungsebene" eingegebene Wert wird nur verwendet, wenn im Feld "Authentifizierungsebene" der Authentifizierungsvorlage eines Bereichs kein Wert angegeben wurde. The Default Authentication Level default value is 0. (Der Wert für dieses Attribut wird nicht von OpenSSO, sondern von einer externen Anwendung, für die es ausgewählt werden kann, verwendet.)