如何处理 LDAP 中的嵌套组

Question

我完全是 LDAP 新手，我只是在研究是否可以将它用于我的下一个项目，或者最好远离它。该项目将在很大程度上取决于嵌套组的概念，我经常需要知道用户在哪个组中（以及在哪个超级组中），哪些用户在哪个组中以及一个组中有多少人（包括子组）。我试图阅读 ldap 中的嵌套组，但很难找到关于该主题的优秀文献。到目前为止，我发现的最好的是：http : //middleware.internet2.edu/dir/groups/docs/internet2-mace-dir-groups-best-practices-200210.htm哪种推荐前向参考。

是否有其他文档描述嵌套组？到目前为止，我不受实现的限制，因此它可以是特定于 openLDAP 的。

我也愿意接受有关嵌套组的所有建议。

谢谢，马库斯

Answer 1

听起来您可以选择groupOfNames- 该对象包含 LDAP 可分辨名称的集合，因此它可以毫无问题地容纳用户和其他组。需要注意的是，展开成员树（并确保其中没有循环，或优雅地处理循环）是您的软件的责任。

我自己从来没有做过前向引用的事情（我更喜欢上面的“组有这些成员”方法，而不是“成员在这些组中”——我的大脑更容易处理它），但我的组结构通常是离散的，非嵌套成员资格，因此可能存在我忽略的优势。