7.2. 在本地策略中分配密码管理员权限

流程

1. 创建 ACI 来为密码管理员角色定义权限：

   # ldapmodify -D "cn=Directory Manager" -W -p 389 -h server.example.com -x << EOF
   dn: ou=people,dc=example,dc=com
   changetype: modify
   add: aci
   aci: (targetattr="userPassword || nsAccountLock || userCertificate || nsSshPublicKey")(targetfilter="(objectClass=nsAccount)")(version 3.0; acl "Enable user password reset"; allow (write, read)(groupdn="ldap:///cn=password_admins,ou=groups,dc=example,dc=com");)
   EOF

2. 为组分配密码管理员角色：

   # dsconf -D "cn=Directory Manager" ldap://server.example.com localpwp set ou=people,dc=example,dc=com --pwdadmin "cn=password_admins,ou=groups,dc=example,dc=com"