4.12. 数据库链接和访问控制评估
当用户绑定到包含数据库链接的服务器时,数据库链接会将用户的身份发送到远程服务器。您可以评估远程服务器上的访问控制。
您可以使用代理授权控制传递的客户端应用程序的原始身份来评估远程服务器上的 LDAP
操作。
注意
您必须在远程服务器上存在子树上具有正确的访问控制,才能在远程服务器上成功操作。
您可以使用以下限制在远程服务器中添加常规访问控制:
- 您不能使用所有类型的访问控制。例如,基于角色的或基于过滤器的 ACI 需要访问用户条目,因为数据通过数据库链接访问。
- 远程服务器在与数据库链接相同的 IP 地址和 DNS 域中查看客户端应用程序。由于客户端的原始域在串联过程中丢失,因此所有基于客户端的 IP 地址或 DNS 域的访问控制都无法正常工作。
注意
目录服务器支持 IPv4
和 IPv6
IP 地址。
以下限制适用于用于数据库链接的 ACI:
- 您必须找到带有它们使用的任何组的 ACI。对于动态组,组中的所有用户都位于 ACI 和组中。对于静态组,用户链接到远程服务器。
- 您必须找到带有它们使用的任何角色定义的 ACI,以及任何打算使用这些角色的用户。
- 当用户是远程时,链接到用户条目的值的 ACI 必须可以正常工作。
虽然对访问控制的评估始终在远程服务器上完成,但也可以在包含数据库链接和远程服务器的服务器上评估访问控制。这会产生以下几个限制:
- 当您评估访问控制时,例如,在包含数据库链接的服务器上以及条目位于远程服务器上的时,用户条目的内容不一定可用。
注意
出于性能考虑,客户端无法执行远程查询并评估访问控制。
- 执行修改操作时,数据库链接无法访问存储在远程服务器上的完整条目,并且不一定无法访问客户端应用程序修改的条目。
-
执行删除操作时,数据库链接仅了解条目的
DN
。如果访问控制指定了特定的属性,则通过数据库链接执行时,删除操作必须失败。
注意
默认情况下,不允许评估包含数据库链接的服务器上的访问控制。您可以使用 cn=database_link
、cn=chaining 数据库、
条目中的 cn=plugins
和 cn=
confignsCheckLocalACI
属性来覆盖此默认设置。但是,不建议评估包含数据库链接的服务器上的访问控制,但级联链除外。