Configuración de LDAP de DLm para varios usuarios

LDAP no es una aplicación nativa de Dell Technologies ni de EMC, y el soporte técnico de Dell Technologies no proporciona ayuda específica para la configuración de acceso.

Para obtener instrucciones más completas, consulte http://www.ldapexplorer.com/en/manual/109010000-ldap-filter-syntax.htm

NOTA: en DLm, el control de acceso LDAP es mutuamente excluyente con el acceso nativo. No puede mantener
usuarios de LDAP y usuarios nativos que no sean dlmadmin.

Los filtros de acceso LDAP pueden usar operadores lógicos para construir la línea de filtro, lo que filtraría los usuarios que coincidan con las condiciones de uno de los grupos de usuarios: Administrador, Usuario, Servicio. En DLm, el inicio de sesión a través de LDAP tiene el siguiente aspecto:
1. El usuario ingresa inicio de sesión/aprobado
2. El autenticador utiliza el nombre de inicio de sesión para reemplazar los marcadores de posición "%s" (si los hay) para todos los filtros especificados.
3. Luego, pasa los filtros uno por uno a la utilidad de búsqueda LDAP (usando el paso del usuario para obtener acceso al servidor AD; si el paso es incorrecto, el inicio de sesión no se realiza correctamente)
4. La utilidad de búsqueda de LDAP devuelve la lista de registros de usuario que coinciden con uno de los filtros
5. La condición para un inicio de sesión exitoso es cuando la utilidad de búsqueda de LDAP devuelve solo un registro de usuario para uno de los filtros, en el que se detiene la búsqueda. Si devuelve muchos registros de usuario a uno de los filtros o no devuelve ningún registro para ninguno de ellos, el inicio de sesión no se realiza correctamente.

Entonces, básicamente, la tarea principal es crear un filtro de manera que coincida con un solo registro de usuario. A modo de ejemplo/orientación general:

para el ID de usuario dlmtapeadmin, si ingresa (sAMAccountName=%dlmtapeadmin) en el filtro de acceso administrativo, la autenticación de AD funcionará. (memberOf=CN=EMC_Tape_Admins,OU=Domain Groups,DC=hdq,DC=emc,DC=com) Esto funciona hasta que el grupo EMC_Tape_Admins tenga solo un usuario, ya que dicho filtro siempre coincide con todos los usuarios del grupo.

Agregue al menos un usuario más allí y no cumpliríamos con la condición (5).

Para que funcione correctamente, necesitamos proporcionar más información para el filtro, en este caso queremos que el filtro verifique solo el registro de usuario que está intentando iniciar sesión en este momento (suponiendo que solo tenemos un usuario con dicho nombre de inicio de sesión como ID en el servidor AD), pero también para verificar que sea miembro del grupo Administradores. Por lo tanto, puede verse así:
(&(sAMAccountName=%s)(memberOf=CN=EMC_Tape_Admins,OU=Domain Groups,DC=hdq,DC=emc,DC=com)) O (dependiendo de cómo esté configurado el servidor AD) (&(cn=%s)(memberOf=CN=EMC_Tape_Admins,OU=Domain Groups,DC=hdq,DC=emc,DC=com))

Entonces, por ejemplo, %s se reemplazará con dlmtapeadmin al iniciar sesión, ahora estamos filtrando por ambos: existe un nombre de usuario especificado en el sistema y es solo un usuario único dlmtapeadmin Y él/ella es miembro de EMC_Tape_Admins grupo. Lo mismo puede hacerse para grupos de EMC_Tape_Users y EMC_Tape_Services hipotéticos para filtros de usuario y servicio, respectivamente, si es necesario.