Ru

Интервал смены пароля#

Для ограничения частоты смены локальных паролей в Sherpa Orchestrator администратору установки необходимо включить проверку интервала. После успешного задания или смены пароля следующий пароль можно установить через 24 часа. Правило действует для Пользователей и Аккаунтов, включая смену администратором через интерфейс и API. LDAP, OpenID и пароли Ресурсов не затрагиваются.

Включение ограничения#

В .env установки необходимо указать:

USER_PASSWORD_CHANGE_INTERVAL_ENABLED=true

По умолчанию используется false: ограничения частоты нет. Длительность интервала фиксирована и не настраивается. Некорректное значение флага вызывает ошибку конфигурации при смене локального пароля.

После изменения .env необходимо применить конфигурацию ко всем экземплярам приложения. При установке через Docker из каталога установки выполняется команда:

docker compose up -d --force-recreate orchestrator

Обычный перезапуск контейнера не обновляет переменные окружения. Пример: для включения ограничения требуется заменить false на true и пересоздать контейнер приложения. Изменять настройки длины, сложности и истории паролей не требуется.

Поведение при смене пароля#

Интервал отсчитывается в UTC от успешного задания или смены пароля, включая первоначальное создание записи. Например, пароль, заданный 21 октября в 10:00 UTC, можно сменить 22 октября начиная с 10:00 UTC. Наступление полуночи не обнуляет интервал.

При слишком ранней попытке форма показывает причину отказа и время следующей разрешенной смены в UTC. Текущий пароль остается действующим. Неуспешная попытка и редактирование других полей не сдвигают дату. При одновременных запросах успешно выполняется только одна смена.

Пример: при попытке изменить пароль Аккаунта training.operator до окончания интервала форма сохраняется открытой и показывает время следующей смены. На снимке показано окно "Account" с отказом, английский интерфейс.

Окно Account: отказ смены пароля до окончания интервала

Окно Account: отказ смены пароля до окончания интервала

Существующие записи без известной даты смены можно изменить сразу. После первой успешной смены начинает действовать интервал. Дата продолжает учитываться и при выключенном ограничении. Проверки сложности и запрета повторного использования всей истории паролей сохраняются.

Срок действия пароля настраивается отдельно. Если включены обе проверки и срок составляет не менее одного дня, к моменту истечения пароля минимальный интервал уже пройден. Обычная административная смена не отменяет ограничение.

Восстановление доступа#

Если пароль необходимо сменить до истечения 24 часов, администратору установки требуется:

  1. Временно установить USER_PASSWORD_CHANGE_INTERVAL_ENABLED=false и применить конфигурацию ко всем экземплярам приложения.
  2. Сменить пароль штатным способом с необходимыми правами доступа. Проверки сложности и истории остаются обязательными.
  3. Вернуть USER_PASSWORD_CHANGE_INTERVAL_ENABLED=true, применить конфигурацию и проверить вход с новым паролем.

Если доступ также блокирует срок действия пароля, требуется учесть отдельную настройку USER_PASSWORD_EXPIRATION_ENABLED. При необходимости администратор временно выключает и ее, затем возвращает исходное значение после восстановления. Пример: после аварийной смены новый пароль сразу запускает очередной интервал 24 часа. Изменять даты в базе данных не требуется.