4.4. LdapExtended Login Module

baseCtxDN

完全限定 DN

none

顶级上下文的固定 DN，用于开始用户搜索。

bindCredential

字符串，可选加密

none

用于存储 DN 的凭据。

bindDN

完全限定 DN

none

用于绑定用户和角色查询的 LDAP 服务器的 DN。此 DN 需要 baseCtxDN 和 rolesCtxDN 值的读取和搜索权限。

baseFilter

LDAP 过滤器字符串

none

用于查找要进行身份验证的用户上下文的搜索过滤器。从登录模块回调获取的输入 用户名 或 userDN 替换到使用 {0} 表达式的任何位置的过滤器中。搜索过滤器的一个常见示例是 (uid={0})。

jaasSecurityDomain

字符串

none

JaasSecurityDomain 的 JMX ObjectName 用于解密密码。

rolesCtxDN

完全限定 DN

none

用于搜索用户角色的上下文的固定 DN。这不是实际角色所在的 DN，而是包含用户角色的对象的 DN。例如，在 Microsoft Active Directory 服务器中，这是用户帐户所在的 DN。

roleFilter

LDAP 过滤器字符串

none

个搜索过滤器，用于查找与经过身份验证的用户关联的角色。从登录模块回调获取的输入 用户名 或 userDN 替换到使用 {0} 表达式的任何位置的过滤器中。经过身份验证的 userDN 被替换成任何使用 {1} 的过滤器。与输入用户名匹配的搜索过滤器示例为 (member={0})。与经过身份验证的 userDN 匹配的另一种方法是 (member={1})。

roleAttributeID

attribute

role

包含用户角色的属性名称。

roleAttributeIsDN

true or false

false

roleAttributeID 是否包含角色对象的完全限定 DN。如果为 false，则从上下文名称的 roleNameAttributeId 属性的值获取角色名称。某些目录架构（如 Microsoft Active Directory）要求将此属性设置为 true。

defaultRole

角色名称

none

为所有经过身份验证的用户包含角色

parseRoleNameFromDN

true or false

false

指示查询返回的 DN 是否包含 roleNameAttributeID 的标志。如果设为 true，则为 roleNameAttributeID 检查 DN。如果设置为 false，则不检查 roleNameAttributeID 的 DN。此标志可以提高 LDAP 查询的性能。

parseUsername

true or false

false

指示是否为 用户名 解析 DN 的标志。如果设为 true，则会为用户名解析 DN。如果设置为 false，则不会为用户名解析 DN。这个选项与 usernameBeginString 和 usernameEndString 一起使用。

usernameBeginString

字符串

none

定义要从 DN 开头删除的字符串，以显示用户名。这个选项与 usernameEndString 一起使用，只有在 parseUsername 设为 true 时才会考虑。

usernameEndString

字符串

none

定义要从 DN 末尾移除的字符串以显示 用户名。这个选项与 usernameBeginString 一起使用，只有在 parseUsername 设为 true 时才会考虑。

roleNameAttributeID

attribute

name

roleCtxDN 上下文中的属性名称，该上下文中包含角色名称。如果 roleAttributeIsDN 属性设为 true，则此属性用于查找角色对象的 name 属性。

distinguishedNameAttribute

attribute

distinguishedName

包含用户的 DN 的用户条目中的属性名称。如果用户本身的 DN 包含特殊字符（例如，反斜杠），这可能会有必要，从而妨碍正确的用户映射。如果 属性不存在，则使用条目的 DN。

roleRecursion

整数

0

角色搜索的递归级别数将低于匹配的上下文。通过将此设置为 0 来禁用递归。

searchTimeLimit

整数

10000 或 10 秒

用户或角色搜索的超时时间（毫秒）。

searchScope

其中之一： OBJECT_SCOPE、ONELEVEL_SCOPE、SUBTREE_SCOPE

SUBTREE_SCOPE

要使用的搜索范围。

allowEmptyPasswords

true or false

false

是否允许空密码。大多数 LDAP 服务器将空密码视为匿名登录尝试。要拒绝空密码，请将其设置为 false。

referralUserAttributeIDToCheck

attribute

none

如果不使用引用，可以忽略这个选项。使用引用时，如果角色对象在引用内，此选项表示包含为特定角色定义的用户的属性名称，如 成员。对照此属性名称的内容检查用户。如果未设置此选项，则检查将始终失败，因此角色对象无法存储在引用树中。