DLm LDAP-konfiguration för flera användare

LDAP är inte ett inbyggt program från Dell Technologies eller EMC och specifik hjälp med åtkomstkonfiguration tillhandahålls inte av Dell Technologies tekniska support.

För mer fullständiga instruktioner, se http://www.ldapexplorer.com/en/manual/109010000-ldap-filter-syntax.htm

OBS: på DLm är LDAP-åtkomstkontroll ömsesidigt uteslutande med inbyggd åtkomst. Du får inte underhålla både
LDAP-användare och andra inbyggda användare än dlmadmin.

LDAP-åtkomstfilter kan använda logiska operatorer för att konstruera filterraden, vilket filtrerar bort de användare som matchar villkoren för en av användargrupperna: Administratör, användare, tjänst. I DLm ser inloggning via LDAP ut så här:
1. Användaren anger inloggning/pass
2. Authenticator använder inloggningsnamn för att ersätta eventuella "%s"-platshållare (om det finns några) för alla angivna filter.
3. Sedan skickar den filtren ett efter en till LDAP-sökverktyget (använder användarpass för att få åtkomst till AD-servern, om passet är felaktigt misslyckas inloggningen)
4. LDAP-sökverktyget returnerar listan över användarposter som matchar ett av filtren
5. Villkoret för lyckad inloggning är att LDAP-sökverktyget endast returnerar en användarpost för ett av filtren, då sökningen stoppas. Om den returnerar många användarposter till ett av filtren eller om den inte returnerar några poster för något av filtren lyckas inloggningen.

Så i grund och botten är huvuduppgiften att skapa ett filter på ett sådant sätt att det bara matchar en användarpost. Som ett exempel/allmän vägledning:

För userid dlmtapeadmin, om du lägger in (sAMAccountName=%dlmtapeadmin) i filtret för administrativ åtkomst, fungerar den AD-autentiseringen. (memberOf=CN=EMC_Tape_Admins,OU=Domängrupper,DC=hdq,DC=emc,DC=com) Vilket fungerar tills den EMC_Tape_Admins gruppen bara har en användare i sig, eftersom ett sådant filter alltid matchar alla användare i gruppen.

Lägg till minst en användare till där och vi skulle inte uppfylla villkor (5).

För att få det att fungera korrekt måste vi ge mer information för filtret, i det här fallet vill vi att filtret bara ska kontrollera den användarpost som försöker logga in för tillfället (förutsatt att vi bara har en användare med ett sådant inloggningsnamn som ett ID på AD-servern), men också för att kontrollera att han/hon är medlem i gruppen Admins. Så det kan se ut så här:
(&(sAMAccountName=%s)(memberOf=CN=EMC_Tape_Admins,OU=Domain Groups,DC=hdq,DC=emc,DC=com)) ELLER (beroende på hur AD-servern är konfigurerad) (&(cn=%s)(memberOf=CN=EMC_Tape_Admins,OU=Domain Groups,DC=hdq,DC=emc,DC=com))Så

till exempel kommer %s att ersättas med dlmtapeadmin vid inloggning, nu filtrerar vi efter båda: ett angivet användarnamn finns i systemet och det är bara en unik användare dlmtapeadmin OCH han/hon är medlem i EMC_Tape_Admins grupp. Detsamma kan göras för hypotetiska EMC_Tape_Users- och EMC_Tape_Services-grupper för användar- respektive tjänstfilter, om det behövs.