Configurazione LDAP DLm per più utenti

LDAP non è un'applicazione nativa Dell Technologies o EMC e il supporto tecnico Dell Technologies non fornisce assistenza specifica per la configurazione dell'accesso.

Per istruzioni più complete, consultare http://www.ldapexplorer.com/en/manual/109010000-ldap-filter-syntax.htm

NOTA: in DLm, il controllo degli accessi LDAP si esclude a vicenda con l'accesso nativo. Non è possibile gestire sia gli utenti LDAP che
gli utenti nativi diversi da dlmadmin.

I filtri di accesso LDAP possono utilizzare operatori logici per costruire la riga del filtro, che consente di filtrare gli utenti che soddisfano le condizioni per uno dei gruppi di utenti: Amministratore, Utente, Servizio. In DLm l'accesso tramite LDAP è simile a:
1. L'utente inserisce il login/pass
2. L'autenticatore utilizza il nome di accesso per sostituire eventuali segnaposto "%s" (se presenti) per tutti i filtri specificati.
3. Quindi passa i filtri uno per uno all'utilità di ricerca LDAP (utilizzando user pass per ottenere l'accesso al server AD, se pass non è corretto, login non riuscito)
4. L'utilità di ricerca LDAP restituisce l'elenco dei record utente che corrispondono a uno dei filtri
5. La condizione per la corretta esecuzione dell'accesso è quando l'utilità di ricerca LDAP restituisce un solo record utente per uno dei filtri, su tale ricerca viene interrotta. Se restituisce molti record utente a uno dei filtri o non restituisce alcun record per nessuno dei filtri, l'accesso non ha esito positivo.

Quindi, fondamentalmente l'attività principale è quella di creare un filtro in modo che corrisponda a un solo record utente. Ad esempio/indicazioni generali:

per l'ID utente dlmtapeadmin, se si inserisce (sAMAccountName=%dlmtapeadmin) nel filtro di accesso amministrativo, l'autenticazione AD funziona. (memberOf=CN=EMC_Tape_Admins,OU=Gruppi di dominio,DC=hdq,DC=emc,DC=com) Il che funziona fino a quando il gruppo EMC_Tape_Admins non contiene un solo utente, poiché tale filtro corrisponde sempre a tutti gli utenti del gruppo.

Aggiungi almeno un altro utente e non rispetteremmo la condizione (5).

Per farlo funzionare correttamente, dobbiamo fornire maggiori informazioni per il filtro, in questo caso vogliamo che il filtro controlli solo il record dell'utente che sta tentando di accedere al momento (supponendo che abbiamo un solo utente con tale nome di accesso come ID sul server AD), ma anche per verificare che sia un membro del gruppo Amministratori. Quindi potrebbe apparire come:
(&(sAMAccountName=%s)(memberOf=CN=EMC_Tape_Admins,OU=Domain Groups,DC=hdq,DC=emc,DC=com)) OR (a seconda di come è configurato il server AD) (&(cn=%s)(memberOf=CN=EMC_Tape_Admins,OU=Domain Groups,DC=hdq,DC=emc,DC=com))Quindi

, ad esempio, %s verrà sostituito con dlmtapeadmin al login, ora stiamo filtrando per entrambi: un nome utente specificato esiste nel sistema ed è solo un utente univoco dlmtapeadmin E lui/lei è un membro di EMC_Tape_Admins gruppo. Lo stesso può essere fatto per ipotetici gruppi EMC_Tape_Users e EMC_Tape_Services rispettivamente per i filtri User e Service, se necessario.