git.sur5r.net Git - openldap/blob - doc/man/man5/slapo-ppolicy.5

   1 .TH SLAPO_PPOLICY 5 "RELEASEDATE" "OpenLDAP LDVERSION"
   2 .\" Copyright 2004-2009 The OpenLDAP Foundation All Rights Reserved.
   3 .\" Copying restrictions apply.  See COPYRIGHT/LICENSE.
   4 .\" $OpenLDAP$
   5 .SH NAME
   6 slapo\-ppolicy \- Password Policy overlay to slapd
   7 .SH SYNOPSIS
   8 ETCDIR/slapd.conf
   9 .SH DESCRIPTION
  10 .LP
  11 The
  12 .B ppolicy
  13 overlay
  14 is an implementation of the most recent IETF Password
  15 Policy proposal for LDAP.   When instantiated, it intercepts,
  16 decodes and applies specific password policy controls to overall
  17 use of a backend database, changes to user password fields, etc.
  18 .P
  19 The overlay provides a variety of password control mechanisms.  They
  20 include password aging -- both minimum and maximum ages, password
  21 reuse and duplication control, account time-outs, mandatory password
  22 resets, acceptable password content, and even grace logins.
  23 Different groups of users may be associated with different password
  24 policies, and there is no limit to the number of password policies
  25 that may be created.
  26 .P
  27 Note that some of the policies do not take effect when the operation
  28 is performed with the
  29 .B rootdn
  30 identity; all the operations, when performed with any other identity,
  31 may be subjected to constraints, like access control.
  32 .P
  33 Note that the IETF Password Policy proposal for LDAP makes sense
  34 when considering a single-valued password attribute, while
  35 the userPassword attribute allows multiple values.  This implementation
  36 enforces a single value for the userPassword attribute, despite
  37 its specification.
  38
  39 .SH CONFIGURATION
  40 These
  41 .B slapd.conf
  42 configuration options apply to the ppolicy overlay. They should appear
  43 after the
  44 .B overlay
  45 directive.
  46 .TP
  47 .B ppolicy_default <policyDN>
  48 Specify the DN of the pwdPolicy object to use when no specific policy is
  49 set on a given user's entry. If there is no specific policy for an entry
  50 and no default is given, then no policies will be enforced.
  51 .TP
  52 .B ppolicy_forward_updates
  53 Specify that policy state changes that result from Bind operations (such
  54 as recording failures, lockout, etc.) on a consumer should be forwarded
  55 to a master instead of being written directly into the consumer's local
  56 database. This setting is only useful on a replication consumer, and
  57 also requires the
  58 .B updateref
  59 setting and
  60 .B chain
  61 overlay to be appropriately configured.
  62 .TP
  63 .B ppolicy_hash_cleartext
  64 Specify that cleartext passwords present in Add and Modify requests should
  65 be hashed before being stored in the database. This violates the X.500/LDAP
  66 information model, but may be needed to compensate for LDAP clients that
  67 don't use the Password Modify extended operation to manage passwords.  It
  68 is recommended that when this option is used that compare, search, and
  69 read access be denied to all directory users.
  70 .TP
  71 .B ppolicy_use_lockout
  72 A client will always receive an LDAP
  73 .B InvalidCredentials
  74 response when
  75 Binding to a locked account. By default, when a Password Policy control
  76 was provided on the Bind request, a Password Policy response will be
  77 included with no special error code set. This option changes the
  78 Password Policy response to include the
  79 .B AccountLocked
  80 error code. Note
  81 that sending the
  82 .B AccountLocked
  83 error code provides useful information
  84 to an attacker; sites that are sensitive to security issues should not
  85 enable this option.
  86
  87 .SH OBJECT CLASS
  88 The
  89 .B ppolicy
  90 overlay depends on the
  91 .B pwdPolicy
  92 object class.  The definition of that class is as follows:
  93 .LP
  94 .RS 4
  95 (  1.3.6.1.4.1.42.2.27.8.2.1
  96     NAME 'pwdPolicy'
  97     AUXILIARY
  98     SUP top
  99     MUST ( pwdAttribute )
 100     MAY (
 101         pwdMinAge $ pwdMaxAge $ pwdInHistory $
 102         pwdCheckQuality $ pwdMinLength $
 103         pwdExpireWarning $ pwdGraceAuthnLimit $
 104         pwdLockout $ pwdLockoutDuration $
 105         pwdMaxFailure $ pwdFailureCountInterval $
 106         pwdMustChange $ pwdAllowUserChange $
 107         pwdSafeModify ) )
 108 .RE
 109
 110 This implementation also provides an additional
 111 .B pwdPolicyChecker
 112 objectclass, used for password quality checking (see below).
 113 .LP
 114 .RS 4
 115 (  1.3.6.1.4.1.4754.2.99.1
 116     NAME 'pwdPolicyChecker'
 117     AUXILIARY
 118     SUP top
 119     MAY ( pwdCheckModule ) )
 120 .RE
 121 .P
 122 Every account that should be subject to password policy control should
 123 have a
 124 .B
 125 pwdPolicySubentry
 126 attribute containing the DN of a valid
 127 .B pwdPolicy
 128 entry, or they can simply use the configured default.
 129 In this way different users may be managed according to
 130 different policies.
 131
 132 .SH OBJECT CLASS ATTRIBUTES
 133 .P
 134 Each one of the sections below details the meaning and use of a particular
 135 attribute of this
 136 .B pwdPolicy
 137 object class.
 138 .P
 139
 140 .B pwdAttribute
 141 .P
 142 This attribute contains the name of the attribute to which the password
 143 policy is applied. For example, the password policy may be applied
 144 to the
 145 .B userPassword
 146 attribute.
 147 .P
 148 Note: in this implementation, the only
 149 value accepted for
 150 .B pwdAttribute
 151 is
 152 .IR " userPassword ".
 153 .LP
 154 .RS 4
 155 (  1.3.6.1.4.1.42.2.27.8.1.1
 156    NAME 'pwdAttribute'
 157    EQUALITY objectIdentifierMatch
 158    SYNTAX 1.3.6.1.4.1.1466.115.121.1.38 )
 159 .RE
 160
 161 .B pwdMinAge
 162 .P
 163 This attribute contains the number of seconds that must elapse
 164 between modifications allowed to the password. If this attribute
 165 is not present, zero seconds is assumed (i.e. the password may be
 166 modified whenever and however often is desired).
 167 .LP
 168 .RS 4
 169 (  1.3.6.1.4.1.42.2.27.8.1.2
 170    NAME 'pwdMinAge'
 171    EQUALITY integerMatch
 172    SYNTAX 1.3.6.1.4.1.1466.115.121.1.27
 173    SINGLE\-VALUE )
 174 .RE
 175
 176 .B pwdMaxAge
 177 .P
 178 This attribute contains the number of seconds after which a modified
 179 password will expire.  If this attribute is not present, or if its
 180 value is zero (0), then passwords will not expire.
 181 .LP
 182 .RS 4
 183 (  1.3.6.1.4.1.42.2.27.8.1.3
 184    NAME 'pwdMaxAge'
 185    EQUALITY integerMatch
 186    SYNTAX 1.3.6.1.4.1.1466.115.121.1.27
 187    SINGLE\-VALUE )
 188 .RE
 189
 190 .B pwdInHistory
 191 .P
 192 This attribute is used to specify the maximum number of used
 193 passwords that will be stored in the
 194 .B pwdHistory
 195 attribute.  If the
 196 .B pwdInHistory
 197 attribute is not present, or if its value is
 198 zero (0), used passwords will not be stored in
 199 .B pwdHistory
 200 and thus any previously-used password may be reused.
 201 No history checking occurs if the password is being modified by the
 202 .BR rootdn ,
 203 although the password is saved in the history.
 204 .LP
 205 .RS 4
 206 (  1.3.6.1.4.1.42.2.27.8.1.4
 207    NAME 'pwdInHistory'
 208    EQUALITY integerMatch
 209    SYNTAX 1.3.6.1.4.1.1466.115.121.1.27
 210    SINGLE\-VALUE )
 211 .RE
 212
 213 .B pwdCheckQuality
 214 .P
 215 This attribute indicates if and how password syntax will be checked
 216 while a password is being modified or added. If this attribute is
 217 not present, or its value is zero (0), no syntax checking will be
 218 done. If its value is one (1), the server will check the syntax,
 219 and if the server is unable to check the syntax,
 220 whether due to a client-side hashed password or some other reason,
 221 it will be
 222 accepted. If its value is two (2), the server will check the syntax,
 223 and if the server is unable to check the syntax it will return an
 224 error refusing the password.
 225 .LP
 226 .RS 4
 227 (  1.3.6.1.4.1.42.2.27.8.1.5
 228    NAME 'pwdCheckQuality'
 229    EQUALITY integerMatch
 230    SYNTAX 1.3.6.1.4.1.1466.115.121.1.27
 231    SINGLE\-VALUE )
 232 .RE
 233
 234 .B pwdMinLength
 235 .P
 236 When syntax checking is enabled
 237 (see also the
 238 .B pwdCheckQuality
 239 attribute), this attribute contains the minimum
 240 number of characters that will be accepted in a password. If this
 241 attribute is not present, minimum password length is not
 242 enforced. If the server is unable to check the length of the password,
 243 whether due to a client-side hashed password or some other reason,
 244 the server will, depending on the
 245 value of
 246 .BR pwdCheckQuality ,
 247 either accept the password
 248 without checking it (if
 249 .B pwdCheckQuality
 250 is zero (0) or one (1)) or refuse it (if
 251 .B pwdCheckQuality
 252 is two (2)).
 253 .LP
 254 .RS 4
 255 (  1.3.6.1.4.1.42.2.27.8.1.6
 256    NAME 'pwdMinLength'
 257    EQUALITY integerMatch
 258    SYNTAX 1.3.6.1.4.1.1466.115.121.1.27
 259    SINGLE\-VALUE )
 260 .RE
 261
 262 .B pwdExpireWarning
 263 .P
 264 This attribute contains the maximum number of seconds before a
 265 password is due to expire that expiration warning messages will be
 266 returned to a user who is authenticating to the directory.
 267 If this attribute is not
 268 present, or if the value is zero (0), no warnings will be sent.
 269 .LP
 270 .RS 4
 271 (  1.3.6.1.4.1.42.2.27.8.1.7
 272    NAME 'pwdExpireWarning'
 273    EQUALITY integerMatch
 274    SYNTAX 1.3.6.1.4.1.1466.115.121.1.27
 275    SINGLE\-VALUE )
 276 .RE
 277
 278 .B pwdGraceAuthnLimit
 279 .P
 280 This attribute contains the number of times that an expired password
 281 may be used to authenticate a user to the directory. If this
 282 attribute is not present or if its value is zero (0), users with
 283 expired passwords will not be allowed to authenticate to the
 284 directory.
 285 .LP
 286 .RS 4
 287 (  1.3.6.1.4.1.42.2.27.8.1.8
 288    NAME 'pwdGraceAuthnLimit'
 289    EQUALITY integerMatch
 290    SYNTAX 1.3.6.1.4.1.1466.115.121.1.27
 291    SINGLE\-VALUE )
 292 .RE
 293
 294 .B pwdLockout
 295 .P
 296 This attribute specifies the action that should be taken
 297 by the directory when a user has made a number of failed attempts
 298 to authenticate to the directory.  If
 299 .B pwdLockout
 300 is set (its value is "TRUE"), the user will not be allowed to
 301 attempt to authenticate to the directory after there have been a
 302 specified number of consecutive failed bind attempts.  The maximum
 303 number of consecutive failed bind attempts allowed is specified by
 304 the
 305 .B pwdMaxFailure
 306 attribute.  If
 307 .B pwdLockout
 308 is not present, or if its value is "FALSE", the password may be
 309 used to authenticate no matter how many consecutive failed bind
 310 attempts have been made.
 311 .LP
 312 .RS 4
 313 (  1.3.6.1.4.1.42.2.27.8.1.9
 314    NAME 'pwdLockout'
 315    EQUALITY booleanMatch
 316    SYNTAX 1.3.6.1.4.1.1466.115.121.1.7
 317    SINGLE\-VALUE )
 318 .RE
 319
 320 .B pwdLockoutDuration
 321 .P
 322 This attribute contains the number of seconds during
 323 which the password cannot be used to authenticate the
 324 user to the directory due to too many consecutive failed
 325 bind attempts.
 326 (See also
 327 .B pwdLockout
 328 and
 329 .BR pwdMaxFailure .)
 330 If
 331 .B pwdLockoutDuration
 332 is not present, or if its value is zero (0), the password
 333 cannot be used to authenticate the user to the directory
 334 again until it is reset by an administrator.
 335 .LP
 336 .RS 4
 337 (  1.3.6.1.4.1.42.2.27.8.1.10
 338    NAME 'pwdLockoutDuration'
 339    EQUALITY integerMatch
 340    SYNTAX 1.3.6.1.4.1.1466.115.121.1.27
 341    SINGLE\-VALUE )
 342 .RE
 343
 344 .B pwdMaxFailure
 345 .P
 346 This attribute contains the number of consecutive failed bind
 347 attempts after which the password may not be used to authenticate
 348 a user to the directory.
 349 If
 350 .B pwdMaxFailure
 351 is not present, or its value is zero (0), then a user will
 352 be allowed to continue to attempt to authenticate to
 353 the directory, no matter how many consecutive failed
 354 bind attempts have occurred with that user's DN.
 355 (See also
 356 .B pwdLockout
 357 and
 358 .BR pwdLockoutDuration .)
 359 .LP
 360 .RS 4
 361 (  1.3.6.1.4.1.42.2.27.8.1.11
 362    NAME 'pwdMaxFailure'
 363    EQUALITY integerMatch
 364    SYNTAX 1.3.6.1.4.1.1466.115.121.1.27
 365    SINGLE\-VALUE )
 366 .RE
 367
 368 .B pwdFailureCountInterval
 369 .P
 370 This attribute contains the number of seconds after which old
 371 consecutive failed bind attempts are purged from the failure counter,
 372 even though no successful authentication has occurred.
 373 If
 374 .B pwdFailureCountInterval
 375 is not present, or its value is zero (0), the failure
 376 counter will only be reset by a successful authentication.
 377 .LP
 378 .RS 4
 379 (  1.3.6.1.4.1.42.2.27.8.1.12
 380    NAME 'pwdFailureCountInterval'
 381    EQUALITY integerMatch
 382    SYNTAX 1.3.6.1.4.1.1466.115.121.1.27
 383    SINGLE\-VALUE )
 384 .RE
 385
 386 .B pwdMustChange
 387 .P
 388 This attribute specifies whether users must change their passwords
 389 when they first bind to the directory after a password is set or
 390 reset by the administrator, or not.  If
 391 .B pwdMustChange
 392 has a value of "TRUE", users must change their passwords when they
 393 first bind to the directory after a password is set or reset by
 394 the administrator.  If
 395 .B pwdMustChange
 396 is not present, or its value is "FALSE",
 397 users are not required to change their password upon binding after
 398 the administrator sets or resets the password.
 399 .LP
 400 .RS 4
 401 (  1.3.6.1.4.1.42.2.27.8.1.13
 402   NAME 'pwdMustChange'
 403   EQUALITY booleanMatch
 404   SYNTAX 1.3.6.1.4.1.1466.115.121.1.7
 405   SINGLE\-VALUE )
 406 .RE
 407
 408 .B pwdAllowUserChange
 409 .P
 410 This attribute specifies whether users are allowed to change their own
 411 passwords or not.  If
 412 .B pwdAllowUserChange
 413 is set to "TRUE", or if the attribute is not present, users will be
 414 allowed to change their own passwords.  If its value is "FALSE",
 415 users will not be allowed to change their own passwords.
 416 .LP
 417 .RS 4
 418 (  1.3.6.1.4.1.42.2.27.8.1.14
 419    NAME 'pwdAllowUserChange'
 420    EQUALITY booleanMatch
 421    SYNTAX 1.3.6.1.4.1.1466.115.121.1.7
 422    SINGLE\-VALUE )
 423 .RE
 424
 425 .B pwdSafeModify
 426 .P
 427 This attribute denotes whether the user's existing password must be sent
 428 along with their new password when changing a password.  If
 429 .B pwdSafeModify
 430 is set to "TRUE", the existing password must be sent
 431 along with the new password.  If the attribute is not present, or
 432 its value is "FALSE", the existing password need not be sent
 433 along with the new password.
 434 .LP
 435 .RS 4
 436 (  1.3.6.1.4.1.42.2.27.8.1.15
 437    NAME 'pwdSafeModify'
 438    EQUALITY booleanMatch
 439    SYNTAX 1.3.6.1.4.1.1466.115.121.1.7
 440    SINGLE\-VALUE )
 441 .RE
 442
 443 .B pwdCheckModule
 444 .P
 445 This attribute names a user-defined loadable module that must
 446 instantiate the check_password() function.  This function
 447 will be called to further check a new password if
 448 .B pwdCheckQuality
 449 is set to one (1) or two (2),
 450 after all of the built-in password compliance checks have
 451 been passed.  This function will be called according to this
 452 function prototype:
 453 .RS 4
 454 int
 455 .I check_password
 456 (char *pPasswd, char **ppErrStr, Entry *pEntry);
 457 .RE
 458 The
 459 .B pPasswd
 460 parameter contains the clear-text user password, the
 461 .B ppErrStr
 462 parameter contains a double pointer that allows the function
 463 to return human-readable details about any error it encounters.
 464 The optional
 465 .B pEntry
 466 parameter, if non-NULL, carries a pointer to the
 467 entry whose password is being checked.
 468 If
 469 .B ppErrStr
 470 is NULL, then
 471 .I funcName
 472 must NOT attempt to use it/them.
 473 A return value of LDAP_SUCCESS from the called
 474 function indicates that the password is ok, any other value
 475 indicates that the password is unacceptable.  If the password is
 476 unacceptable, the server will return an error to the client, and
 477 .B ppErrStr
 478 may be used to return a human-readable textual explanation of the
 479 error. The error string must be dynamically allocated as it will
 480 be free()'d by slapd.
 481 .LP
 482 .RS 4
 483 (  1.3.6.1.4.1.4754.1.99.1
 484    NAME 'pwdCheckModule'
 485    EQUALITY caseExactIA5Match
 486    SYNTAX 1.3.6.1.4.1.1466.115.121.1.26
 487    SINGLE\-VALUE )
 488 .RE
 489 .P
 490 Note:
 491 The user-defined loadable module named by
 492 .B pwdCheckModule
 493 must be in
 494 .B slapd's
 495 standard executable search PATH.
 496 .P
 497 Note:
 498 .B pwdCheckModule
 499 is a non-standard extension to the LDAP password
 500 policy proposal.
 501
 502 .SH OPERATIONAL ATTRIBUTES
 503 .P
 504 The operational attributes used by the
 505 .B ppolicy
 506 module are stored in the user's entry.  Most of these attributes
 507 are not intended to be changed directly by users; they are there
 508 to track user activity.  They have been detailed here so that
 509 administrators and users can both understand the workings of
 510 the
 511 .B ppolicy
 512 module.
 513
 514 .P
 515 Note that the current IETF Password Policy proposal does not define
 516 how these operational attributes are expected to behave in a
 517 replication environment. In general, authentication attempts on
 518 a slave server only affect the copy of the operational attributes
 519 on that slave and will not affect any attributes for
 520 a user's entry on the master server. Operational attribute changes
 521 resulting from authentication attempts on a master server
 522 will usually replicate to the slaves (and also overwrite
 523 any changes that originated on the slave).
 524 These behaviors are not guaranteed and are subject to change
 525 when a formal specification emerges.
 526
 527 .B userPassword
 528 .P
 529 The
 530 .B userPassword
 531 attribute is not strictly part of the
 532 .B ppolicy
 533 module.  It is, however, the attribute that is tracked and controlled
 534 by the module.  Please refer to the standard OpenLDAP schema for
 535 its definition.
 536
 537 .B pwdPolicySubentry
 538 .P
 539 This attribute refers directly to the
 540 .B pwdPolicy
 541 subentry that is to be used for this particular directory user.
 542 If
 543 .B pwdPolicySubentry
 544 exists, it must contain the DN of a valid
 545 .B pwdPolicy
 546 object.  If it does not exist, the
 547 .B ppolicy
 548 module will enforce the default password policy rules on the
 549 user associated with this authenticating DN. If there is no
 550 default, or the referenced subentry does not exist, then no
 551 policy rules will be enforced.
 552 .LP
 553 .RS 4
 554 (  1.3.6.1.4.1.42.2.27.8.1.23
 555    NAME 'pwdPolicySubentry'
 556    DESC 'The pwdPolicy subentry in effect for
 557        this object'
 558    EQUALITY distinguishedNameMatch
 559    SYNTAX 1.3.6.1.4.1.1466.115.121.1.12
 560    SINGLE\-VALUE
 561    NO\-USER\-MODIFICATION
 562    USAGE directoryOperation)
 563 .RE
 564
 565 .B pwdChangedTime
 566 .P
 567 This attribute denotes the last time that the entry's password was
 568 changed.  This value is used by the password expiration policy to
 569 determine whether the password is too old to be allowed to be used
 570 for user authentication.  If
 571 .B pwdChangedTime
 572 does not exist, the user's password will not expire.
 573 .LP
 574 .RS 4
 575 (  1.3.6.1.4.1.42.2.27.8.1.16
 576    NAME 'pwdChangedTime'
 577    DESC 'The time the password was last changed'
 578    SYNTAX 1.3.6.1.4.1.1466.115.121.1.24
 579    EQUALITY generalizedTimeMatch
 580    ORDERING generalizedTimeOrderingMatch
 581    SINGLE\-VALUE
 582    NO\-USER\-MODIFICATION
 583    USAGE directoryOperation)
 584 .RE
 585
 586 .B pwdAccountLockedTime
 587 .P
 588 This attribute contains the time that the user's account was locked.
 589 If the account has been locked, the password may no longer be used to
 590 authenticate the user to the directory.  If
 591 .B pwdAccountLockedTime
 592 is set to 000001010000Z, the user's account has been permanently locked
 593 and may only be unlocked by an administrator.
 594 .LP
 595 .RS 4
 596 (  1.3.6.1.4.1.42.2.27.8.1.17
 597    NAME 'pwdAccountLockedTime'
 598    DESC 'The time an user account was locked'
 599    SYNTAX 1.3.6.1.4.1.1466.115.121.1.24
 600    EQUALITY generalizedTimeMatch
 601    ORDERING generalizedTimeOrderingMatch
 602    SINGLE\-VALUE
 603    NO\-USER\-MODIFICATION
 604    USAGE directoryOperation)
 605 .RE
 606
 607 .B pwdFailureTime
 608 .P
 609 This attribute contains the timestamps of each of the consecutive
 610 authentication failures made upon attempted authentication to this
 611 DN (i.e. account).  If too many timestamps accumulate here (refer to
 612 the
 613 .B pwdMaxFailure
 614 password policy attribute for details),
 615 and the
 616 .B pwdLockout
 617 password policy attribute is set to "TRUE", the
 618 account may be locked.
 619 (Please also refer to the
 620 .B pwdLockout
 621 password policy attribute.)
 622 Excess timestamps beyond those allowed by
 623 .B pwdMaxFailure
 624 may also be purged.  If a successful authentication is made to this
 625 DN (i.e. to this user account), then
 626 .B pwdFailureTime
 627 will be cleansed of entries.
 628 .LP
 629 .RS 4
 630 (  1.3.6.1.4.1.42.2.27.8.1.19
 631    NAME 'pwdFailureTime'
 632    DESC 'The timestamps of the last consecutive
 633        authentication failures'
 634    SYNTAX 1.3.6.1.4.1.1466.115.121.1.24
 635    EQUALITY generalizedTimeMatch
 636    ORDERING generalizedTimeOrderingMatch
 637    NO\-USER\-MODIFICATION
 638    USAGE directoryOperation )
 639 .RE
 640
 641 .B pwdHistory
 642 .P
 643 This attribute contains the history of previously used passwords
 644 for this DN (i.e. for this user account).
 645 The values of this attribute are stored in string format as follows:
 646
 647 .RS 4
 648
 649 pwdHistory=
 650 .RS 4
 651 time "#" syntaxOID "#" length "#" data
 652 .RE
 653
 654 time=
 655 .RS 4
 656 GeneralizedTime as specified in section 3.3.13 of [RFC4517]
 657 .RE
 658
 659 .P
 660 syntaxOID = numericoid
 661 .RS 4
 662 This is the string representation of the dotted-decimal OID that
 663 defines the syntax used to store the password.  numericoid is
 664 described in section 1.4 of [RFC4512].
 665 .RE
 666
 667 length = NumericString
 668 .RS 4
 669 The number of octets in the data.  NumericString is described in
 670 section 3.3.23 of [RFC4517].
 671 .RE
 672
 673 data =
 674 .RS 4
 675 Octets representing the password in the format specified by syntaxOID.
 676 .RE
 677
 678 .RE
 679
 680 This format allows the server to store and transmit a history of
 681 passwords that have been used.  In order for equality matching
 682 on the values in this attribute to function properly, the time
 683 field is in GMT format.
 684 .LP
 685 .RS 4
 686 (  1.3.6.1.4.1.42.2.27.8.1.20
 687    NAME 'pwdHistory'
 688    DESC 'The history of user passwords'
 689    SYNTAX 1.3.6.1.4.1.1466.115.121.1.40
 690    EQUALITY octetStringMatch
 691    NO\-USER\-MODIFICATION
 692    USAGE directoryOperation)
 693 .RE
 694
 695 .B pwdGraceUseTime
 696 This attribute contains the list of timestamps of logins made after
 697 the user password in the DN has expired.  These post-expiration
 698 logins are known as "\fIgrace logins\fP".
 699 If too many
 700 .I grace logins
 701 have been used (please refer to the
 702 .B pwdGraceLoginLimit
 703 password policy attribute), then the DN will no longer be allowed
 704 to be used to authenticate the user to the directory until the
 705 administrator changes the DN's
 706 .B userPassword
 707 attribute.
 708 .LP
 709 .RS 4
 710 (  1.3.6.1.4.1.42.2.27.8.1.21
 711    NAME 'pwdGraceUseTime'
 712    DESC 'The timestamps of the grace login once the password has expired'
 713    SYNTAX 1.3.6.1.4.1.1466.115.121.1.24
 714    EQUALITY generalizedTimeMatch
 715    NO\-USER\-MODIFICATION
 716    USAGE directoryOperation)
 717 .RE
 718
 719 .B pwdReset
 720 .P
 721 This attribute indicates whether the user's password has been reset
 722 by the administrator and thus must be changed upon first use of this
 723 DN for authentication to the directory.  If
 724 .B pwdReset
 725 is set to "TRUE", then the password was reset and the user must change
 726 it upon first authentication.  If the attribute does not exist, or
 727 is set to "FALSE", the user need not change their password due to
 728 administrative reset.
 729 .LP
 730 .RS 4
 731 (  1.3.6.1.4.1.42.2.27.8.1.22
 732    NAME 'pwdReset'
 733    DESC 'The indication that the password has
 734        been reset'
 735    EQUALITY booleanMatch
 736    SYNTAX 1.3.6.1.4.1.1466.115.121.1.7
 737    SINGLE\-VALUE
 738    USAGE directoryOperation)
 739 .RE
 740
 741 .SH EXAMPLES
 742 .LP
 743 .RS
 744 .nf
 745 database bdb
 746 suffix dc=example,dc=com
 747 \|...
 748 overlay ppolicy
 749 ppolicy_default "cn=Standard,ou=Policies,dc=example,dc=com"
 750 .fi
 751 .RE
 752
 753 .SH SEE ALSO
 754 .BR ldap (3),
 755 .BR slapd.conf (5),
 756 .BR slapd\-config (5),
 757 .BR slapo\-chain (5).
 758 .LP
 759 "OpenLDAP Administrator's Guide" (http://www.OpenLDAP.org/doc/admin/)
 760 .LP
 761 IETF LDAP password policy proposal by P. Behera, L.  Poitou and J.
 762 Sermersheim:  documented in IETF document
 763 "draft-behera-ldap-password-policy-09.txt".
 764
 765 .SH BUGS
 766 The LDAP Password Policy specification is not yet an approved standard,
 767 and it is still evolving. This code will continue to be in flux until the
 768 specification is finalized.
 769
 770 .SH ACKNOWLEDGEMENTS
 771 .P
 772 This module was written in 2004 by Howard Chu of Symas Corporation
 773 with significant input from Neil Dunbar and Kartik Subbarao of Hewlett-Packard.
 774 .P
 775 This manual page borrows heavily and shamelessly from the specification
 776 upon which the password policy module it describes is based.  This
 777 source is the
 778 IETF LDAP password policy proposal by P. Behera, L.
 779 Poitou and J. Sermersheim.
 780 The proposal is fully documented in
 781 the
 782 IETF document named draft-behera-ldap-password-policy-09.txt,
 783 written in July of 2005.
 784 .P
 785 .so ../Project