Срок действия локального пароля#

Проверка срока действия применяется к локальным паролям Пользователей и Аккаунтов. Пароли LDAP/OpenID, пароли Ресурсов и API-токены не изменяются. По умолчанию проверка выключена.

Настройка срока действия#

Администратору установки необходимо задать параметры в файле .env рядом с docker-compose.yml:

USER_PASSWORD_EXPIRATION_ENABLED=true
USER_PASSWORD_EXPIRATION_DAYS=120

• USER_PASSWORD_EXPIRATION_ENABLED — включает проверку при значении true. Значение по умолчанию — false.
• USER_PASSWORD_EXPIRATION_DAYS — задает положительное целое число дней. Значение по умолчанию — 120. Пустое, дробное, нулевое или отрицательное значение недопустимо. Ошибочная конфигурация включенной проверки блокирует вход по локальному паролю до исправления настроек.

После изменения .env необходимо применить конфигурацию с пересозданием контейнера приложения, например командой docker compose up -d --force-recreate orchestrator из каталога установки. Обычный перезапуск контейнера не обновляет его переменные окружения.

Срок отсчитывается от успешного задания или смены пароля в UTC. Один день равен 24 часам. Изменение других полей записи и неуспешная смена пароля срок не продлевают. При обновлении установки существующие записи без известной даты смены получают полный срок от момента выполнения миграции. Позднее включение проверки не начинает срок заново. Уже выданные сессии работают до штатного завершения. Новый вход, в том числе запрос с Basic-аутентификацией, проверяет срок пароля.

Пример: при сроке 120 дней пароль, заданный 1 января в 10:00 UTC невисокосного года, действует до 1 мая 10:00 UTC. Для срока 30 дней необходимо заменить значение 120 на 30 и применить конфигурацию. Уменьшение срока может сделать старые пароли истекшими сразу.

Смена истекшего пароля#

После ввода правильного истекшего пароля на экране входа появляются поля смены. До завершения смены доступ к данным Оркестратора не предоставляется. Требуется активная локальная учетная запись и знание текущего пароля. Права редактирования других Пользователей не требуются.

Обязательные поля:

• Поле "Login" — логин своей учетной записи.
• Поле "Password" — текущий истекший пароль.
• Поле "Новый пароль" — новый пароль, соответствующий настроенным требованиям длины и сложности. Повторное использование текущего и ранее использованных паролей запрещено.
• Поле "Подтвердите новый пароль" — повтор нового пароля без изменений.

Дополнительные поля: отсутствуют.

Необходимо заполнить поля, нажать на кнопку "Сменить пароль" и после сообщения об успешной смене снова войти с новым паролем. Кнопка "Отмена" возвращает к обычному входу без смены пароля. При ошибке действующий пароль и дата его смены сохраняются. После слишком частых попыток необходимо подождать не менее минуты.

Пример: Пользователь training.operator вводит текущий пароль и получает сообщение об истечении срока. В поля нового пароля необходимо ввести одинаковое новое значение и нажать на кнопку "Сменить пароль". После успешной смены Пользователь входит с новым паролем. На скриншоте показан экран до заполнения нового пароля, английский интерфейс.

Восстановление доступа#

Если текущий пароль неизвестен, его необходимо сменить через уполномоченного администратора Аккаунта. Форма истекшего пароля не заменяет проверку текущих учетных данных.

Если срок паролей мешает аварийному доступу, администратору установки необходимо временно задать USER_PASSWORD_EXPIRATION_ENABLED=false, применить конфигурацию, сменить пароль штатным способом и снова включить проверку. Выключение срока не отменяет проверки сложности и истории паролей.

Пример: неверное значение срока исправляется администратором в .env, после чего контейнер приложения пересоздается. Если использовалось временное выключение, после смены пароля необходимо вернуть true и проверить вход. Изменять даты в базе данных не требуется.