7.4. 选择适当的验证方法

有关安全策略的基本决定是用户如何访问该目录。匿名用户访问该目录，或者每个用户都需要使用用户名和密码（验证）登录目录？

了解目录服务器提供的身份验证方法。该目录对所有用户使用相同的身份验证机制，无论它们是人员还是 LDAP 感知应用程序。

匿名访问提供了目录最简单的访问形式。通过匿名访问权限，连接到该目录的任何人都可以访问数据。

当您配置匿名访问时，您无法跟踪谁执行哪种搜索类型，而只有某人执行搜索。您可以尝试阻止特定的用户或组访问某些类型的目录数据，但如果匿名访问允许该数据，则仍可以通过匿名绑定到目录来访问数据。

您可以限制匿名访问。通常，目录管理员仅允许匿名访问读、搜索和比较特权，而不用于写入、添加、删除或自我写入特权。通常，管理员限制对包含通用信息（如名称、电话号码和电子邮件地址）的属性子集的访问。您不应该允许匿名访问更敏感数据，如政府身份识别号，例如美国、家电话号码和地址以及工资信息。

如果您需要严格访问目录数据的规则，您可以完全禁用匿名访问。

当用户试图使用用户名绑定但没有用户密码属性时，未经身份验证的 绑定是。例如：

ldapsearch -x -D "cn=jsmith,ou=people,dc=example,dc=com" -b "dc=example,dc=com" "(cn=joe)"

如果用户没有尝试提供密码，目录服务器会授予匿名访问权限。未经身份验证的绑定不需要绑定 DN 为现有条目。

与匿名绑定一样，您可以通过限制对数据库的访问来禁用未经身份验证的绑定以提高安全性。另外，您可以禁用未经身份验证的绑定，以防止客户端的绑定失败。有些应用程序可能认为它已成功验证到该目录，因为它收到了一个绑定成功消息，因此无法传递密码，而只是与未经身份验证的绑定连接。