DLm LDAP -määritys useille käyttäjille

LDAP ei ole Dell Technologiesin tai EMC:n natiivisovellus, eikä Dell Technologiesin tekninen tuki tarjoa apua käyttöoikeuksien määritykseen.

Katso täydellisemmät ohjeet kohdasta http://www.ldapexplorer.com/en/manual/109010000-ldap-filter-syntax.htm

HUOMAUTUS: DLm:ssä LDAP-käytönvalvonta sulkee toisensa pois alkuperäisen käytön kanssa. Sekä LDAP-käyttäjiä että
alkuperäisiä käyttäjiä ei saa ylläpitää dlmadminia lukuun ottamatta.

LDAP-käyttösuodattimet voivat käyttää loogisia operaattoreita suodatinrivin muodostamiseen, mikä suodattaa pois käyttäjät, jotka vastaavat jonkin käyttäjäryhmän ehtoja: Järjestelmänvalvoja, käyttäjä, palvelu. DLm:ssä kirjautuminen LDAP:n kautta näyttää tältä:
1. Käyttäjä syöttää kirjautumistunnuksen/passin
2. Authenticator käyttää kirjautumisnimeä korvaamaan kaikkien määritettyjen suodattimien %s-paikkamerkit (jos sellaisia on).
3. Sitten se välittää suodattimet yksitellen LDAP-hakutyökaluun (käyttämällä käyttäjäpassia AD-palvelimen käyttämiseen, jos läpäisy on virheellinen, kirjautuminen epäonnistuu)
4. LDAP-hakutyökalu palauttaa luettelon käyttäjätietueista, jotka vastaavat suodattimien
5 tietueita. Onnistuneen kirjautumisen ehtona on, että kun LDAP-hakutyökalu palauttaa vain yhden käyttäjätietueen yhdelle suodattimelle, haku lopetetaan. Jos se palauttaa useita käyttäjätietueita johonkin suodattimeen tai se ei palauta minkään suodattimen tietueita, kirjautuminen epäonnistuu.

Joten periaatteessa päätehtävänä on luoda suodatin tavalla, jolla se vastaa vain yhtä käyttäjätietuetta. Esimerkkinä / yleisenä ohjeena:

Jos lisäät (sAMAccountName=%dlmtapeadmin) järjestelmänvalvojan käyttöoikeussuodattimeen, AD-todennus toimii. (memberOf=CN=EMC_Tape_Admins,OU=toimialueryhmät,DC=hdq,DC=emc,DC=com) Mikä toimii, kunnes EMC_Tape_Admins ryhmässä on vain yksi käyttäjä, koska tällainen suodatin vastaa aina kaikkia ryhmän käyttäjiä.

Lisää ainakin yksi käyttäjä lisää, niin emme noudata ehtoa (5).

Jotta se toimisi oikein, meidän on annettava lisätietoja suodattimelle, tässä tapauksessa haluamme, että suodatin tarkistaa vain käyttäjätietueen, joka yrittää kirjautua sisään tällä hetkellä (olettaen, että meillä on vain yksi käyttäjä, jolla on tällainen kirjautumisnimi tunnuksena AD-palvelimella), mutta myös tarkistaa, että hän on Järjestelmänvalvojat-ryhmän jäsen. Joten se voi näyttää tältä:
(&(sAMAccountName=%s)(memberOf=CN=EMC_Tape_Admins,OU=Domain Groups,DC=hdq,DC=emc,DC=com)) TAI (riippuen siitä, miten AD-palvelin on määritetty) (&(cn=%s)(memberOf=CN=EMC_Tape_Admins,OU=Domain Groups,DC=hdq,DC=emc,DC=com))Joten

esimerkiksi %s korvataan dlmtapeadminilla kirjauduttaessa, Nyt suodatamme molemmat: järjestelmässä on määritetty käyttäjänimi, joka on vain yksi yksilöllinen käyttäjä dlmtapeadmin JA hän on EMC_Tape_Admins ryhmän jäsen. Sama voidaan tarvittaessa tehdä hypoteettisille EMC_Tape_Users ja EMC_Tape_Services ryhmille käyttäjä- ja palvelusuodattimille.