2.3. 使用命令行管理目录服务器中的角色

流程

1. 使用带有 -a 选项的 ldapmodify 命令创建 cn=Marketing managed role 条目：

   # ldapmodify -a -D "cn=Directory Manager" -W -H ldap://server.example.com -x << EOF
   dn: cn=Marketing,ou=people,dc=example,dc=com
   objectclass: top
   objectclass: LDAPsubentry
   objectclass: nsRoleDefinition
   objectclass: nsSimpleRoleDefinition
   objectclass: nsManagedRoleDefinition
   cn: Marketing
   description: managed role for the marketing team
   EOF

   managed role 条目必须包含以下对象类：

   • LDAPsubentry
   • nsRoleDefinition
   • nsSimpleRoleDefinition
   • nsManagedRoleDefinition

2. 通过将 nsRoleDN 属性添加到这个用户条目，将 cn=Marketing,ou=people,dc=example,dc=com managed role 分配给 cn=Bob Jones,ou=people,dc=example,dc=com 用户条目：

   # ldapmodify -D "cn=Directory Manager" -W -H ldap://server.example.com -x << EOF
   dn: cn=Bob Jones,ou=people,dc=example,dc=com
   changetype: modify
   add: nsRoleDN
   nsRoleDN: cn=Marketing,ou=people,dc=example,dc=com
   EOF
   
   modifying entry "cn=Bob Jones,ou=people,dc=example,dc=com"

3. 可选：为 userRoot 数据库中 nsRoleDN 属性配置等号索引，以避免未索引的搜索：

   #  dsconf -D "cn=Directory Manager" ldap://server.example.com backend index add --index-type eq --attr nsroleDN --reindex userRoot

流程

1. 使用带有 -a 选项的 ldapmodify 命令创建 cn=SalesManagerFilter 过滤角色条目：

   # ldapmodify -a -D "cn=Directory Manager" -W -H ldap://server.example.com -x << EOF
   dn: cn=SalesManagerFilter,ou=people,dc=example,dc=com
   changetype: add
   objectclass: top
   objectclass: LDAPsubentry
   objectclass: nsRoleDefinition
   objectclass: nsComplexRoleDefinition
   objectclass: nsFilteredRoleDefinition
   cn: SalesManagerFilter
   nsRoleFilter: o=sales managers
   Description: filtered role for sales managers
   EOF

   cn=SalesManagerFilter 过滤的角色条目具有角色的 o=Sales managers 过滤器。具有 o 属性且值为 Sales managers 的所有 用户条目都是过滤角色的成员。

   现在过滤角色成员的用户条目示例：

   dn: cn=Pat Smith,ou=people,dc=example,dc=com
   objectclass: person
   cn: Pat
   sn: Smith
   userPassword: password
   o: sales managers

   过滤的角色条目必须具有以下对象类：

   • LDAPsubentry
   • nsRoleDefinition
   • nsComplexRoleDefinition
   • nsFilteredRoleDefinition

2. 可选：为 nsRoleFilter 角色过滤器中使用的属性配置 相等 索引，以避免未索引的搜索。在给定示例中，该角色使用 o=sales managers 作为过滤器。因此，索引 o 属性以提高搜索性能：

   #  dsconf -D "cn=Directory Manager" ldap://server.example.com backend index add --index-type eq --attr o --reindex userRoot

流程

1. 使用带有 -a 选项的 ldapmodify 命令，创建 cn=MarketingSales 嵌套角色条目，其中包含 cn=SalesManagerFilter 过滤角色和 cn=Marketing 受管角色：

   # ldapmodify -a -D "cn=Directory Manager" -W -H ldap://server.example.com -x << EOF
   dn: cn=MarketingSales,ou=people,dc=example,dc=com
   objectclass: top
   objectclass: LDAPsubentry
   objectclass: nsRoleDefinition
   objectclass: nsComplexRoleDefinition
   objectclass: nsNestedRoleDefinition
   cn: MarketingSales
   nsRoleDN: cn=SalesManagerFilter,ou=people,dc=example,dc=com
   nsRoleDN: cn=Marketing,ou=people,dc=example,dc=com
   EOF

   （可选）角色可以具有 description 属性。

   嵌套角色条目必须具有以下对象类：

   • LDAPsubentry
   • nsRoleDefinition
   • nsComplexRoleDefinition
   • nsNestedRoleDefinition