Configuração LDAP do DLm para vários usuários

O LDAP não é um aplicativo nativo da Dell Technologies nem da EMC, e o suporte técnico da Dell Technologies não fornece ajuda específica para configuração de acesso.

Para obter instruções mais completas, consulte http://www.ldapexplorer.com/en/manual/109010000-ldap-filter-syntax.htm

NOTA: no DLm, o controle de acesso LDAP é mutuamente exclusivo com acesso nativo. Você não pode manter
usuários LDAP e usuários nativos que não sejam dlmadmin.

Os filtros de acesso LDAP podem usar operadores lógicos para construir a linha de filtro, que filtraria os usuários que correspondem às condições de um dos grupos de usuários: Administrador, Usuário, Serviço. No DLm, o login via LDAP se parece com:
1. O usuário digita login/pass
2. O autenticador usa o nome de log-in para substituir qualquer espaço reservado "%s" (se houver) de todos os filtros especificados.
3. Em seguida, ele passa os filtros um a um para o utilitário de pesquisa LDAP (usando o passe de usuário para obter acesso ao servidor AD, se o passe estiver incorreto, o login não é bem-sucedido)
4. O utilitário de pesquisa LDAP retorna a lista de registros de usuário que correspondem a um dos filtros
5. A condição para um log-in bem-sucedido é quando o utilitário de pesquisa LDAP retorna apenas um registro de usuário para um dos filtros, em que a pesquisa é interrompida. Se ele retornar muitos registros de usuário para um dos filtros ou não retornar nenhum registro para nenhum dos filtros, o login não será bem-sucedido.

Então, basicamente, a principal tarefa é criar um filtro da forma que corresponda a apenas um registro de usuário. Como exemplo/orientação geral:

Para o userid dlmtapeadmin, se você colocar (sAMAccountName=%dlmtapeadmin) no filtro de acesso administrativo, a autenticação do AD funcionará. (memberOf=CN=EMC_Tape_Admins,OU=Domain Groups,DC=hdq,DC=emc,DC=com) Isso funciona até que o grupo EMC_Tape_Admins tenha apenas um usuário, já que esse filtro sempre corresponde a todos os usuários do grupo.

Adicione pelo menos mais um usuário lá e não cumpriremos com a condição (5).

Para que ele funcione corretamente, precisamos fornecer mais informações para o filtro, neste caso, queremos que o filtro verifique apenas o registro do usuário que está tentando fazer login no momento (supondo que tenhamos apenas um usuário com esse nome de login como um ID no servidor AD), mas também para verificar se ele / ela é um membro do grupo Admins. Portanto, pode ser parecido com:
(&(sAMAccountName=%s)(memberOf=CN=EMC_Tape_Admins,OU=Domain Groups,DC=hdq,DC=emc,DC=com)) OU (dependendo de como o servidor AD está configurado) (&(cn=%s)(memberOf=CN=EMC_Tape_Admins,OU=Domain Groups,DC=hdq,DC=emc,DC=com))Então

, por exemplo, %s será substituído por dlmtapeadmin no login, agora estamos filtrando ambos: existe um nome de usuário especificado no sistema e é apenas um usuário exclusivo dlmtapeadmin E ele/ela é membro EMC_Tape_Admins grupo. O mesmo pode ser feito para EMC_Tape_Users hipotéticos e grupos de EMC_Tape_Services para filtros de Usuário e Serviço, respectivamente, se necessário.