Configuration LDAP DLm pour plusieurs utilisateurs

LDAP n’est pas une application native de Dell Technologies ou d’EMC et aucune aide spécifique à la configuration de l’accès n’est fournie par le support technique Dell Technologies.

Pour obtenir des instructions plus complètes, reportez-vous à http://www.ldapexplorer.com/en/manual/109010000-ldap-filter-syntax.htm

REMARQUE : Sur le DLm, le contrôle d’accès LDAP est mutuellement exclusif avec l’accès natif. Vous ne pouvez pas conserver à la fois
les utilisateurs LDAP et les utilisateurs natifs autres que dlmadmin.

Les filtres d’accès LDAP peuvent utiliser des opérateurs logiques pour construire la ligne de filtre, afin de filtrer les utilisateurs qui répondent aux conditions de l’un des groupes d’utilisateurs : Administrateur, Utilisateur, Service. Dans DLm, la connexion via LDAP ressemble à :
1. L’utilisateur saisit le login/pass
2. Authenticator utilise le nom de connexion pour remplacer les espaces réservés « %s » (le cas échéant) pour tous les filtres spécifiés.
3. Ensuite, il transmet les filtres un par un à l’utilitaire de recherche LDAP (à l’aide d’un laissez-passer utilisateur pour accéder au serveur AD, si le transfert est incorrect, la connexion échoue)
4. L’utilitaire de recherche LDAP renvoie la liste des enregistrements utilisateur correspondant à l’un des filtres
5. La condition de connexion réussie est que lorsque l’utilitaire de recherche LDAP ne renvoie qu’un seul enregistrement utilisateur pour l’un des filtres, la recherche est arrêtée. S’il renvoie de nombreux enregistrements utilisateur vers l’un des filtres ou s’il ne renvoie aucun enregistrement pour l’un des filtres, la connexion échoue.

Donc, fondamentalement, la tâche principale consiste à créer un filtre de manière à ce qu’il ne corresponde qu’à un seul enregistrement utilisateur. À titre d’exemple/conseils généraux :

Pour l’ID utilisateur dlmtapeadmin, si vous mettez (sAMAccountName= %dlmtapeadmin) dans le filtre d’accès administratif, cette authentification AD fonctionne. (memberOf=CN=EMC_Tape_Admins,OU=Groupes de domaines,DC=hdq,DC=emc,DC=com) Ce qui fonctionne jusqu’à ce que le groupe de EMC_Tape_Admins n’ait qu’un seul utilisateur, car un tel filtre correspond toujours à tous les utilisateurs du groupe.

Ajoutez au moins un utilisateur de plus et nous ne respecterons pas la condition (5).

Pour que cela fonctionne correctement, nous devons fournir plus d’informations pour le filtre, dans ce cas, nous voulons que le filtre ne vérifie que l’enregistrement de l’utilisateur qui essaie de se connecter en ce moment (en supposant que nous n’ayons qu’un seul utilisateur avec un tel nom de connexion comme ID sur le serveur AD), mais aussi pour vérifier qu’il est membre du groupe Admins. Cela peut donc ressembler à :
(&(sAMAccountName= %s)(memberOf=CN=EMC_Tape_Admins,OU=Domain Groups,DC=hdq,DC=emc,DC=com)) OU (selon la façon dont le serveur AD est configuré) (&(cn= %s)(memberOf=CN=EMC_Tape_Admins,OU=Groupes de domaines,DC=hdq,DC=emc,DC=com))Par

exemple, %s sera remplacé par dlmtapeadmin lors de la connexion, Maintenant, nous filtrons pour les deux : un nom d’utilisateur spécifié existe dans le système et il ne s’agit que d’un seul utilisateur unique dlmtapeadmin ET il est membre de EMC_Tape_Admins groupe. Il en va de même pour des groupes de EMC_Tape_Users et de EMC_Tape_Services hypothétiques pour les filtres User et Service, respectivement, si nécessaire.