添加 OpenLDAP 反向组成员身份维护覆盖后，如何更新现有对象的 memberOf 属性？

Question

这是这个问题的后续：我将memberof 覆盖添加到现有的 OpenLDAP 2.4 服务器。现在我想更新现有的用户对象。

对于新的组成员身份，memberOf 属性会正确更新。但是我有一堆不会自动更新的现有组。我可以从他们的组中删除所有用户并重新添加他们以确保这些条目是同步的。由于这是一个Univention Corporate Server，它在您修改 LDAP 时会发挥很多作用，因此我不想冒险破坏我的目录。

有没有办法欺骗覆盖层来更新这些操作属性？

Answer 1

只有当memberOf您修改组中的成员时，才会激活叠加层。因此，“欺骗”它更新memberOf属性的唯一方法确实是从组中删除所有用户并重新添加它们，正如您所建议的那样。

另一种方法是使用外部工具来同步组及其成员的条目。

您可以为此编写自己的脚本 - 类似于“对于每个组，读取成员，对于每个成员，运行 LDAP“修改”操作以向该成员条目的 memberOf 属性“添加”一个值。

或者，可能更可靠，您可以使用像LSC （LDAP 同步连接器）这样的工具，它几乎已经完成了所有操作：您只需要配置所需的映射即可。LSC 的技巧是使用相同的 LDAP 服务器作为源和目标，并运行所有用户以确保 memberOf 属性包含在所有组中搜索 member= 所得到的组列表。LSC 网站有一个教程可以做到这一点，但它有点过时了。