在 OpenLDAP 中存储委派权限的最佳实践是什么？

Question

我的网络的核心用户数据库由 OpenLDAP 管理。最近，我们需要引入一种可能性，让一个用户代表第二个用户进行操作。由于所有与应用程序相关的权限和权限都存储在 LDAP 中，我们还希望将新架构存储在同一位置。

我的问题是 - 是否有常见的知名模式或最佳实践来在 LDAP 中存储此类委派权限？我听说使用 Active Directory 的 MS Exchange 中有这样的功能。

Answer 1

您可能想使用代理授权。它使用特殊的操作属性（authzTo或authzFrom）来允许一个绑定用户使用另一用户的身份和权限执行操作。

我使用 UnboundID 的 ldap sdk，他们在ProxiedAuthorizationV2RequestControl 的 javadoc中提供了使用代理授权执行操作的示例。