第 3 章 用户管理和身份验证

前提条件

• ou=groups,dc=example,dc=com 父条目存在。

流程

• 要使用 groupOfNames 对象类创建 cn=simple_group 组，请运行：

  # dsidm <instance_name> -b "dc=example,dc=com" group create --cn "simple_group"
  Successfully created simple_group

  Copy to Clipboard Toggle word wrap

  请注意，dsidm group create 命令仅在 ou=group 子条目中创建组。如果要在另一个条目中创建组，请使用 ldapmodify 工具。

• 要创建带有 groupOfUniqueNames 对象类的 cn=unique_members_group 组，请运行：

  # ldapmodify -D "cn=Directory Manager" -W -H ldap://server.example.com -x
  dn: cn=unique_members_group,ou=groups,dc=example,dc=com
  changetype: add
  objectClass: top
  objectClass: groupOfUniqueNames
  cn: unique_members_group
  description: A static group with unique members
  
  adding new entry "cn=unique_members_group,ou=groups,dc=example,dc=com"

  Copy to Clipboard Toggle word wrap

验证

• 使用 dsidm group list 命令列出带有 groupOfNames 对象类的组：

  # dsidm --basedn "dc=example,dc=com" <instance_name> group list
  simple_group

  Copy to Clipboard Toggle word wrap

• 使用 dsidm uniquegroup list 命令列出具有唯一成员的组：

  # dsidm --basedn "dc=example,dc=com" <instance_name> uniquegroup list
  unique_members_group

  Copy to Clipboard Toggle word wrap

前提条件

• ou=groups,dc=example,dc=com 父条目存在。
• 在 web 控制台中，您有登录实例的权限。有关登录到 Web 控制台的更多信息，请参阅使用 Web 控制台登录到目录服务器。

验证

• 展开后缀树中新创建的组条目。

前提条件

• 组条目存在。
• 存在用户条目。

流程

• 要将成员添加到带有 groupOfNames 对象类的静态组中，请将用户可分辨名称(DN)作为值添加到 group 条目的 member 属性中：

  # ldapmodify -D "cn=Directory Manager" -W -H ldap://server.example.com -x
  dn: cn=simple_group,ou=groups,dc=example,dc=com
  changetype: modify
  add: member
  member: uid=jsmith,ou=people,dc=example,dc=com
  
  modifying entry "cn=simple_group,ou=groups,dc=example,dc=com"

  Copy to Clipboard Toggle word wrap

  命令将 uid=jsmith 用户添加到 cn=simple_group 组中。

• 要将成员添加到带有 groupOfUniqueNames 对象类的静态组中，请将用户可分辨名称(DN)作为值添加到组条目的 uniqueMember 属性中：

  # ldapmodify -D "cn=Directory Manager" -W -H ldap://server.example.com -x
  dn: cn=unique_members_group,ou=groups,dc=example,dc=com
  changetype: modify
  add: uniqueMember
  uniqueMember: uid=ajonson,ou=people,dc=example,dc=com
  
  modifying entry "cn=unique_members_group,ou=groups,dc=example,dc=com"

  Copy to Clipboard Toggle word wrap

  命令将 uid=ajonson 用户添加到 cn=unique_members_group 组中。

验证

• 列出组成员：

  # ldapsearch -xLL -D "cn=Directory Manager" -W -b dc=example,dc=com "(cn=simple_group)"
  
  dn: cn=simple_group,ou=Groups,dc=example,dc=com
  objectClass: top
  objectClass: groupOfNames
  objectClass: nsMemberOf
  cn: simple_group
  member: uid=jsmith,ou=people,dc=example,dc=com
  member: uid=mtomson,ou=people,dc=example,dc=com

  Copy to Clipboard Toggle word wrap

前提条件

• 组条目存在。
• 用户条目存在。
• 在 web 控制台中登录到实例。有关登录到 Web 控制台的详情，请参阅使用 Web 控制台登录到目录服务器。

验证

• 展开 cn=unique_members_group,ou=groups,dc=example,dc=com 组条目，并在条目详情中找到添加的用户。

• 复制拓扑中的 MemberOf 插件

  在复制拓扑中，您可以以两种方式管理 MemberOf 插件：

  • 在拓扑中的所有供应商和消费者服务器上启用 MemberOf 插件。在这种情况下，您必须从所有复制协议中的复制中排除用户条目的 memberOf 属性。

    有关排除属性的详情，请参阅在 部分复制中管理属性。

  • 仅在拓扑中的所有供应商服务器上启用 MemberOf 插件。要做到这一点：

    • 您必须禁用 memberOf 属性到复制协议中所有启用了写入的供应商复制。

      有关排除属性的详情，请参阅在 部分复制中管理属性。

    • 您必须启用 memberOf 属性到其复制协议中所有消费者副本的复制。
    • 您必须在消费者副本中禁用 MemberOf 插件。

• 带有分布式数据库的 MemberOf 插件

  如 配置目录数据库 中所述，您可以将目录的子树存储在单独的数据库中。默认情况下，MemberOf 插件只更新存储在与组相同的数据库中的用户条目。要在所有数据库中更新用户，您必须在 上将 memberOfAllBackends 参数设置为。有关设置 memberOfAllBackends 参数的详情，请参阅使用 Web 控制台在每个服务器上配置 MemberOf 插件。

• memberOfGroupAttr.定义要从组条目轮询哪个成员资格属性。memberOfGroupAttr 属性是 multi-valued。因此，插件可以管理多种类型的组。默认情况下，插件轮询 member 属性。
• memberOfAttr.定义在成员的用户条目中创建和管理的成员资格属性。默认情况下，插件将 memberOf 属性添加到用户条目中。

前提条件

• 您可以在复制拓扑中的所有服务器上启用了 MemberOf 插件。详情请参阅 启用 MemberOf 插件。

前提条件

• 您可以在复制拓扑中的所有服务器上启用了 MemberOf 插件。详情请参阅 启用 MemberOf 插件。

• 在启用 MemberOf 插件前，您已将组成员添加到组中。
• 您可以在用户条目中手动编辑 memberOf 属性。
• 您已将新用户条目导入或复制到已具有 memberOf 属性的服务器。

前提条件

• 您可以在复制拓扑中的所有服务器上启用了 MemberOf 插件。详情请参阅 启用 MemberOf 插件。

流程

• 例如，要更新 dc=example,dc=com 条目和子项中的 memberOf 值，请运行：

  # dsconf <instance_name> plugin memberof fixup "dc=example,dc=com"
  Attempting to add task entry...
  Successfully added task entry

  Copy to Clipboard Toggle word wrap

  默认情况下，修复任务会在包含 inetUser,inetAdmin, 或 nsMemberOf 对象类的所有条目中更新 memberOf 值。

  如果您希望修复任务也可以用于包含其他对象类的条目，请使用 -f 过滤器选项：

  # dsconf <instance_name> plugin memberof fixup -f "(|(objectclass=inetuser)(objectclass=inetadmin)(objectclass=nsmemberof)(objectclass=nsmemberof)(objectclass=inetOrgPerson))" "dc=example,dc=com"

  Copy to Clipboard Toggle word wrap

  在这个版本中，任务会更新包含 inetUser,inetAdmin,nsMemberOf, 或 inetOrgPerson 对象类的所有条目中的 memberOf 值。