Схемы и конфиги - да, содержимое может быть пустым: всё приедет.

всем привет!
Centos 7, openldap 2.4.44 (slapd)

настраиваю политику наложения паролей ppolicy

мне необходимо сделать так, чтобы юзер не смог изменить свой пароль более 1 раза (чтобы смог сменить пароль только один раз, после чего такой возможности у него не было бы).

может кто-нибудь реализовывал подобно и сможет подсказать какими атрибутами/политиками я смогу добиться такого ограничения?

в документации по ppolicy я не нашел атрибута/директивы, подходящих для такого кейса

А какая задача решается?

что-то вроде метода подписки:
1. создается учетная запись юзеру
2. атрибутом политики pwdMaxAge задается время жизни пароля учетки (тем самым и ограничивается срок действия учетной записи, т.к. в таком кейсе просроченный пароль=неработающая учетка)
 2.1 но ограничение жизни пароля в атрибуте pwdMaxAge можно обойти просто пересоздав пароль заново (сменить), и отсчет pwdMaxAge начнется сначала.
3. после создания учетки юзеру направляется пароль, который он должен будет сменить на свой.
 3.1 для смены пароля юзерами, был развернут self-service-password - где юзеры могут его сменить введя присланный им пароль как "старый" и задав себе новый свой пароль - в этот момент обнуляются политики паролей pwdMaxAge, это ок.

теперь проблема:
пользователь может даже через пол года войти на веб-форму и сменить себе пароль, тем самым обнулив отсчет pwdMaxAge и продлив срок действия пароля и учетной записи.
поэтому и хочу ограничить количество попыток смены пароля до одной: когда юзер меняет присланный ему пароль на свой из пункта 3.1 и чтобы после этого не смог сменить пароль еще раз

А генерить одноразовую ссылку на смену пароля, а не портал, сложно реализовать? Типа каждому своя, вместе с паролем.

тоже вариант, спасибо за идею) надо будет посмтреть возможность реализации

Прошу прощения, но выглядит, как какой-то костыль. Потому что аттрибуты используются не по назначению.

Если это все идет через схему Draft-behera-ldap-password-policy, то там я нашел PwdEndTime

интересно, а эта схема совместима с openldap-2.4.44?

А вей, этж не схема, это драфт

Насколько я понял pwdMaxAge из той же оперы, но надо смотреть имплементацию.

вот pwdMaxAge я и использую, но в нем задается время жизни пароля после его последнего изменения.

например, если pwdMaxAge=1000 сек, то пароль действует 1000 сек.
но, соответственно, если юзер сменит свой пароль спустя 999сек, то отсчет жизни пароля пойдет заново, и пароль/учетка снова будет жить 1000сек

не рекомендуется для использования?

Ну вот поэтому используют отдельную сущность когда аккаунт истек. Есть разные реализации, но в основном они сводятся к "времени после которого аккаунт истек", в зависимости от используемых схем и реализаций лдапа этот аттрибут может быть разным.

не, типо схема и предложение для использования это разные вещи.

> Есть разные реализации,

есть еще какие-то?

ну из перечисленных в статье для openldap не подходит ничего. поэтому использовал ppolicy

или я неправильно что-то понял и это можно использовать в openldap?

Насколько я пока понимаю ppolicy по этому драфту и делали, но судя по всему не доделали.

не удержался: как же с ипой хорошо