Для улучшения работы сайта мы используем файлы cookies. Оставаясь на сайте, вы соглашаетесь с политикой обработки персональных данных.

Блокировка пользователей

Настройка блокировки пользователей через CLI доступна в StarVault 1.1.0 и более поздних версиях. Поддерживаются методы userpass, userpass-advanced, ldap, ldap-advanced и approle.

Если пользователь несколько раз подряд вводит неверные учетные данные, StarVault на некоторое время прекращает попытки проверки их учетных данных и вместо этого немедленно возвращается с ошибкой "отказано в разрешении". Это "блокировка пользователя". Время, на которое пользователь будет заблокирован, называется “продолжительностью блокировки”. Пользователь сможет войти в систему по истечении этого срока. Количество неудачных попыток входа, после которых пользователь будет заблокирован, называется “порогом блокировки”. Счетчик порога блокировки обнуляется через несколько минут без попыток входа в систему или после успешной попытки входа в систему. Время, по истечении которого счетчик будет обнулен после отсутствия попыток входа в систему, называется "сброс счетчика блокировки". Это может предотвратить как автоматические, так и целевые запросы, т.е. атаки на основе подбора пароля пользователем, а также автоматические атаки.

Функция блокировки пользователя включена по умолчанию. Значения по умолчанию для "порога блокировки" — 5 попыток, "продолжительности блокировки" — 15 минут, "сброса счетчика блокировки" — 15 минут.

Функцию блокировки пользователя можно отключить следующим образом:

  • Глобально, используя переменную окружения STARVAULT_DISABLE_USER_LOCKOUT.

  • Для всех поддерживаемых методов аутентификации (userpass, userpass-advanced, approle, ldap, ldap-advanced) или для конкретного поддерживаемого метода, используя параметр disable_lockout в секции user_lockout конфигурационного файла. Глобальная настройка описана в статье Блокировка пользователей.

  • Для конкретной точки монтирования, используя starvault auth tune. Порядок приведен в разделе Настройка точки монтирования через CLI. Поле API называется lockout_disable и описано в разделе Параметры.

Эта функция поддерживается только методами аутентификации userpass, userpass-advanced, approle, ldap и ldap-advanced.

1. Настройка точки монтирования через CLI

Команда starvault auth tune настраивает конкретную точку монтирования. Последний аргумент команды задает путь к точке монтирования, а не тип метода аутентификации.

Чтобы блокировать пользователя после 10 неудачных попыток входа на 10 минут для точки монтирования userpass/, выполните команду:

starvault auth tune -user-lockout-threshold=10 -user-lockout-duration=10m userpass/

Команда устанавливает порог блокировки в 10 попыток и длительность блокировки в 10 минут для точки монтирования userpass/.

Глобальную настройку блокировки по типу метода аутентификации см. в разделе Блокировка пользователей.

2. Приоритет

Приоритет настройки блокировки пользователя следующий:

  1. Настройка для автоматического подключения с помощью tune

  2. Настройка метода аутентификации в файле конфигурации

  3. Настройка для "всех" методов аутентификации в файле конфигурации

  4. Значения по умолчанию

Приоритет отключения блокировки пользователя следующий:

  1. Отключить с помощью переменной среды STARVAULT_DISABLE_USER_LOCKOUT

  2. Настройка для автоматического подключения с помощью tune

  3. Настройка для метода аутентификации в конфигурационном файле

  4. Настройка для "всех" методов аутентификации в конфигурационном файле

  5. Значения по умолчанию

3. Конфигурация

Параметры блокировки пользователя можно настроить с помощью конфигурационного файла для всех поддерживаемых методов или для конкретного метода (userpass, userpass-advanced, approle, ldap, ldap-advanced). Описание секции user_lockout и параметра disable_lockout приведено в статье Блокировка пользователей.

Конфигурацию блокировки для точки монтирования по заданному пути можно настроить командой starvault auth tune. Порядок приведен в разделе Настройка точки монтирования через CLI. В API тот же объект передается полем user_lockout_config, параметр отключения называется lockout_disable. Описание запроса приведено в разделе Параметры.