FreeBSD下利用ACI/SSL安全使用OpenLDAP

TAG：
System(FreeBSD)
　　一、使用访问控制(Access Control)，实现用户认证
　　
　　关于它，在OpenLDAP 2.1 Administrator's Guide里有详细说明。这里只管应用。
　　
　　修改OpenLDAP的配置文件，增加控制块
　　
　　# vi /usr/local/etc/openldap/slapd.conf
　　access to attr=userPassword
　　by anonymous auth
　　by self write
　　by * none
　　
　　access to *
　　by self write
　　by users read
　　
　　此控制块用于禁止匿名查询，而认证用户可以修改自己的所有属性，允许查询它人的信息条目，但除了userPassword属性。基本上上面的每一行都是必须的，经过反复删除恢复，终于对访问控制块的认识有了质的飞跃。特别是对于“by anonymous auth”的理解，没有了它，需要认证的用户不能完成认证，因为它查询不到密码呀！所以“auth”在这里的作用就是允许匿名用户可以读到密码，但只能用于验证，而不能用于其它的用途，这就保证了密码属性的安全。
　　
　　重启ldap服务
　　
　　# /usr/local/etc/rc.d/slapd.sh restart
　　
　　查询测试
　　
　　1、如果还使用LDAP Browser 2.6的话，这次就可以使用其它的用户bind了，如使用用户：
　　
　　uid=abc,ou=people,dc=example,dc=com
　　
　　它的密码是:abcabc（见前面的例子）
　　
　　2、在命令行完成
　　
　　# ldapsearch -x -b 'dc=example,dc=com' 'objectClass=*'
　　
　　匿名查询结果：（显然没有任何条目）
　　
　　# extended LDIF
　　#
　　# LDAPv3
　　# base with scope sub
　　# filter: objectClass=*
　　# requesting: ALL
　　#
　　
　　# search result
　　search: 2
　　result: 0 Success
　　
　　# numResponses: 1
　　
　　# ldapsearch -x -b 'dc=example,dc=com' -D 'uid=abc,ou=people,dc=example,dc=com' -w abcabc 'uid=a*'
　　
　　通过指定用户查询的结果：
　　
　　# extended LDIF
　　#
　　# LDAPv3
　　# base with scope sub
　　# filter: uid=a*
　　# requesting: ALL
　　#
　　
　　# abc, people, example.com
　　dn: uid=abc,ou=people,dc=example,dc=com
　　objectClass: person
　　objectClass: organizationalPerson
　　objectClass: inetOrgPerson
　　uid: abc
　　sn: zhangs
　　cn: zs
　　userPassword:: YWJjYWJj
　　
　　# aaa, people, example.com
　　dn: uid=aaa,ou=people,dc=example,dc=com
　　objectClass: person
　　objectClass: organizationalPerson
　　objectClass: inetOrgPerson
　　uid: aaa
　　sn: aaaa
　　cn:: YWFkQSA=
　　
　　# search result
　　search: 2
　　result: 0 Success
　　
　　# numResponses: 3
　　# numEntries: 2
　　
　　如果过滤条件还是用'objectClass=*'的话，产生的条目数很多，所以这里就必为了'uid=a*'。从结果中我们可以看到“uid=abc,ou=people,dc=example,dc=com”的userPassword属性显示了出来，而另一个用户则没有显示。上面执行的命令中红色部分分别是查询时使用的用户名和密码，其中密码就是条目“uid=abc,ou=people,dc=example,dc=com”中所存放的userPassword的值。

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有