DLm LDAP-konfiguration til flere brugere

LDAP er ikke et Dell Technologies- eller EMC-baseret program, og specifik hjælp til adgangskonfiguration leveres ikke af Dell Technologies tekniske support.

Du kan finde flere komplette instruktioner i http://www.ldapexplorer.com/en/manual/109010000-ldap-filter-syntax.htm

BEMÆRK: På DLm udelukker LDAP-adgangskontrol gensidigt med indbygget adgang. Du må ikke opretholde både
LDAP-brugere og andre indfødte brugere end dlmadmin.

LDAP-adgangsfiltre kan bruge logiske operatorer til at oprette filterlinjen, hvilket filtrerer de brugere, der opfylder betingelserne for en af brugergrupperne: Admin, Bruger, Service. I DLm ser login via LDAP sådan ud:
1. Brugeren indtaster login/pass
2. Autentificering bruger logonnavn til at erstatte eventuelle "%s"-pladsholdere (hvis nogen) for alle angivne filtre.
3. Derefter sender den filtrene et efter et til LDAP-søgeværktøjet (ved hjælp af brugerkort for at få adgang til AD-serveren, hvis passet er forkert, lykkes login ikke)
4. LDAP-søgeværktøjet returnerer listen over brugerposter, der svarer til et af filtrene
5. Betingelsen for vellykket login er, når LDAP-søgeværktøjet kun returnerer én brugerpost for et af filtrene, hvorefter søgningen stoppes. Hvis det returnerer mange brugerposter til et af filtrene, eller det ikke returnerer nogen poster for nogen af filtrene - login er mislykket.

Så dybest set er hovedopgaven at oprette et filter på den måde, det kun matcher en brugerpost. Som et eksempel / generel vejledning:

For userid dlmtapeadmin, hvis du indsætter (sAMAccountName =% dlmtapeadmin) i filteret Administrativ adgang, fungerer den AD-godkendelse. (memberOf=CN=EMC_Tape_Admins,OU=Domain Groups,DC=hdq,DC=emc,DC=com) Hvilket fungerer, indtil den EMC_Tape_Admins gruppe kun har en bruger i den, da et sådant filter altid matcher alle brugerne i gruppen.

Tilføj mindst en bruger mere der, og vi ville ikke overholde betingelse (5).

For at få det til at fungere korrekt skal vi give mere info til filteret, i dette tilfælde ønsker vi, at filteret kun kontrollerer den brugerpost, der forsøger at logge ind i øjeblikket (forudsat at vi kun har en bruger med et sådant loginnavn som et id på AD-serveren), men også for at kontrollere, at han / hun er medlem af administratorgruppen. Så det kan se sådan ud:
(&(sAMAccountName=%s)(memberOf=CN=EMC_Tape_Admins,OU=Domain Groups,DC=hdq,DC=emc,DC=com)) ELLER (afhængigt af hvordan AD-serveren er konfigureret) (&(cn=%s)(memberOf=CN=EMC_Tape_Admins,OU=Domain Groups,DC=hdq,DC=emc,DC=com))Så

for eksempel %s vil blive erstattet med dlmtapeadmin ved login, Nu filtrerer vi efter begge: Der findes et bestemt brugernavn i systemet, og det er kun en unik bruger dlmtapeadmin OG han / hun er medlem af EMC_Tape_Admins gruppe. Det samme kan gøres for hypotetiske EMC_Tape_Users- og EMC_Tape_Services-grupper for henholdsvis bruger- og tjenestefiltre, hvis det er nødvendigt.