複数ユーザーのDLm LDAP構成

LDAPはデル・テクノロジーズまたはEMCのネイティブ アプリケーションではないため、特定のアクセス構成に関するヘルプはデル・テクノロジーズのテクニカル サポートによって提供されません。

詳細な手順については、次を参照してください。 http://www.ldapexplorer.com/en/manual/109010000-ldap-filter-syntax.htm

メモ:DLmでは、LDAPアクセス制御はネイティブ アクセスとは相互に排他的です。dlmadmin
以外のLDAPユーザーとネイティブ ユーザーの両方を維持することはできません

LDAPアクセス フィルターは、論理演算子を使用してフィルター行を作成し、いずれかのユーザー グループの条件に一致するユーザーを除外できます。管理者、ユーザー、サービス。DLmでは、LDAP経由のログインは
1のようになります。ユーザーは「login/pass
2」と入力します。トークンはログイン名を使用して、指定されたすべてのフィルターの「%s」プレースホルダー(存在する場合)を置き換えます。
3.次に、フィルターを1つずつLDAP検索ユーティリティーに渡します(ユーザー パスを使用してADサーバーにアクセスし、パスが正しくない場合、ログインは失敗します)
4.LDAP検索ユーティリティーは、filter
5のいずれかに一致するユーザー レコードのリストを返します。ログイン成功の条件は、LDAP検索ユーティリティーがフィルターの1つに対して1つのユーザー レコードのみを返し、検索が停止した場合です。いずれかのフィルターに多数のユーザー レコードが返された場合、またはどのフィルターにもレコードが返されない場合は、ログインに失敗します

したがって、基本的にの主なタスクは、1 つのユーザー レコードのみに一致する方法でフィルターを作成することです。例/一般的なガイダンスとして、

ユーザー ID dlmtapeadmin の場合、管理アクセス フィルターに (sAMAccountName=%dlmtapeadmin) を入力すると、その AD 認証が機能します。(memberOf=CN=EMC_Tape_Admins,OU=ドメイン グループ,DC=hdq,DC=emc,DC=com)このようなフィルターは常にグループ内のすべてのユーザーに一致するため、EMC_Tape_Admins グループに含まれるユーザーが 1 人しかいなくなるまでは機能します

そこに少なくとももう1人のユーザーを追加すると、条件(5)に従わなくなります。

これを正しく機能させるには、フィルターにより多くの情報を提供する必要がありますが、この場合、フィルターは現時点でログインしようとしているユーザーレコードのみをチェックします(ADサーバー上にIDとしてそのようなログイン名を持つユーザーが1人しかいないと仮定します)が、彼/彼女が管理者グループのメンバーであることもチェックします。したがって、次のようになります。
(&(sAMAccountName=%s)(memberOf=CN=EMC_Tape_Admins,OU=Domain Groups,DC=hdq,DC=emc,DC=com)) OR (AD サーバーの構成方法に応じて) (&(cn=%s)(memberOf=CN=EMC_Tape_Admins,OU=Domain Groups,DC=hdq,DC=emc,DC=com)))

たとえば、%s はログイン時に dlmtapeadmin に置き換えられます。 次に、両方でフィルタリングしています。指定したユーザー名がシステムに存在し、そのユーザーが1人のみの一意のユーザーdlmtapeadminであり、かつそのユーザーがEMC_Tape_Adminsグループのメンバーであること。必要に応じて、ユーザー フィルターとサービス フィルターの仮想EMC_Tape_Users グループとEMC_Tape_Services グループについて、それぞれ同じことを行うことができます。