使用 LDAP 代理进行 Active Directory 身份验证

Question

我们在隔离网络中提供服务。这些服务需要针对 Active Directory 服务器对用户进行身份验证。

但是 Active Directory 服务器不是直接可用的，所以我必须在隔离网络中设置一个 LDAP 代理。然后 LDAP 代理将有权访问 AD。请注意，访问权限必须是只读的，并且此代理只能访问一台AD 服务器。

• 这可能/可行吗？
• “代理”这个词是好词吗？
• Microsoft AD 服务器是强制性的还是 OpenLDAP 可以完成这项工作？
• 我对 AD/LDAP 知之甚少，学习曲线如何？
• 一些提示从哪里开始？

谢谢。

Answer 1

这可能/可行吗？

这既可行又普遍。如果您搜索类似 openldap 代理活动目录的内容，您会发现许多有用的结果。

“代理”这个词是好词吗？

这绝对是正确使用的术语。

Microsoft AD 服务器是强制性的还是 OpenLDAP 可以完成这项工作？

如果您的客户只需要 LDAP 服务器，那么 OpenLDAP 就可以了，特别是如果您只需要只读访问权限。

我对 AD/LDAP 知之甚少，学习曲线如何？

不知道你的背景，这是一个很难回答的问题。我发现 LDAP 从根本上来说很简单，但是在 OpenLDAP 中围绕访问控制可能需要一些工作。

一些提示从哪里开始？

如果您需要做的只是让 AD 服务器在您的本地网络中可用，那么简单的 TCP 代理或适当的 iptables 规则将比成熟的 LDAP 代理简单得多。这样做的缺点是您需要在 Active Directory 方面执行任何访问控制。

如果您决定使用 OpenLDAP 作为代理：

• 逐步安装和配置 OpenLDAP 作为 Active Directory 的代理似乎符合标题的要求，但作为指南并不是很好。

• 该Samba文档具有沿着这些路线的一些注意事项。

• 我几年前写的这篇文章比你想要的要多，但确实有一些配置示例。

Answer 2

Active Directory 轻量级目录服务似乎正是您所需要的 - 但如果您想直接针对 AD 进行身份验证，您可以只做一个 TCP 代理返回您的 AD 服务器；HAProxy是一个不错的选择。