标签: ldap

基于这个关于文件系统中增强权限支持的问题，与 Exchange 上的 NTFS 上的 Active Directory 进行比较的最佳权限 + 目录和邮件堆栈是什么？

我熟悉用于目录服务的OpenLDAP，以及用于电子邮件和日历的Scalix。这个领域还有其他好的竞争对手吗？十年前，Novell 的 NetWare 是我的答案，但随着它几乎消失了，除了“perl-and-duct-tape”之外，我还没有看到好的替代品。

即 - 是否有这些（或其他）工具集的集成包装？

这个问题的重点是看看一个完全没有广告的环境是多么合理，具有高质量的日历、电子邮件和目录服务功能。

它可以在 Mac OS X、Linux 或 Windows 上运行——我只是很想知道其他人在这个领域做了/看到/使用了什么。

我有一个 LDAP 服务器和一个预定义的 shell (bash)。但是在某些机器上，我希望在用户登录时使用不同的 shell，而不是存储在 LDAP 中的 shell。

我怎样才能做到这一点？？有人可以给我一些指导吗？

谢谢

问题：我需要在我的 Windows (7) 机器上设置一个 LDAP 服务器以用于开发目的。

我怎么做？我如何在那里获取数据？

我们有大约 70% 的 linux 用户，所有这些用户都配置为通过 LDAP 对 Active Directory 进行身份验证。为了使其正常工作，我们在 Windows Server 2003 下使用了“Windows Services for Unix”，并且一切正常。

我们现在正处于运行这个装置的服务器有点累的时候，将被更新的机器取代，运行 Windows Server 2008（其中用户名映射和密码更改等相关服务与操作系统）。

这就是问题所在：如果新用户是通过 Win2k3 服务器配置的，那么一切正常。如果同样的事情是通过 Win2k8 服务器完成的，那么：

1. 2k3 服务器上的 ADS 插件无法识别它，其行为就像从未设置过 UNIX 属性一样。
2. 用户无法使用 LDAP 对 ADS 进行身份验证。

有没有人遇到过这个问题？如果是这样，你是如何克服这个问题的？

如果您需要任何其他信息以提供进一步帮助，请询问，我会提供。

我在导入用户ldapadd和ldif文件时遇到问题。我得到的错误是：

ldap_add: Constraint violation (19)
additional info: structuralObjectClass: no user modification allowed

导入的用户都是ou=People,dc=example,dc=org. LDAP 服务器已包含此基本 DN。

该/etc/ldap/slapd.d/cn=config/olcDatabase={1}hdb.ldif文件包含以下 ACL 条目：

olcAccess: {2}to dn.base="ou=People,dc=example,dc=org" attrs=children by gr
 oup.exact="cn=Manager,ou=Roles,dc=example,dc=org" manage

该ldif文件被导入如下：

ldapadd -f import.ldif -xv -D "cn=drupal,ou=Apps,dc=example,dc=org" -h localhost -W

该cn=drupal,ou=Apps[...]条目是 的成员，cn=Manager,ou=Roles,dc=example,dc=org因此它应该具有足够的写入权限（因为管理是可用的最高权限级别）。

当我发出ldapadd命令时，导入在第一个ldif条目时失败。完整的命令输出是：

add objectClass:
    top
    person
    inetOrgPerson
add uid:
    John.Merrell
add mail:
    john.merrell@example.org
add cn:
    John D Merrell
add structuralObjectClass:
    inetOrgPerson
add …

我正在研究为用户提供跨多台计算机的单一身份的软件。也就是说，用户应该在每台计算机上拥有相同的权限，并且该用户应该可以访问他或她在每台计算机上的所有文件（漫游主目录）。这个总体思路似乎有很多解决方案，但我正在努力确定最适合我的解决方案。以下是一些详细信息以及要求：

1. 机器网络是运行 Ubuntu 的 Amazon EC2 实例。
   • 我们使用 SSH 访问机器。
   • 这个局域网上的一些机器可能有不同的用途，但我只讨论特定用途的机器（运行多租户平台）。
2. 系统不一定有恒定数量的机器。
   • 我们可能不得不永久或暂时改变正在运行的机器数量。这就是我研究集中式身份验证/存储的原因。
3. 这种效果的实现应该是安全的。
   • 我们不确定用户是否可以直接访问 shell，但他们的软件可能会在我们的系统上运行（当然，在受限制的 Linux 用户名下），这与直接 shell 访问一样好。
   • 为了安全起见，让我们假设他们的软件可能是恶意的。

我听说过几种技术/组合来实现我的目标，但我不确定每种技术/组合的后果。

• 较早的 ServerFault 帖子推荐了 NFS 和 NIS，但根据赛门铁克的这篇旧文章，该组合存在安全问题。这篇文章建议转向 NIS+，但是，由于它是旧的，这篇 Wikipedia 文章引用了表明 Sun 正在远离 NIS+ 的声明。推荐的替代品是我听说过的另一件事......
• LDAP。看起来 LDAP 可用于将用户信息保存在网络上的一个集中位置。仍然需要使用 NFS 来满足“漫游主文件夹”的要求，但我看到它们被一起使用的参考。既然赛门铁克的文章指出了 NIS 和 NFS 中的安全问题，是否有软件可以替代 NFS，或者我应该听从那篇文章的建议来锁定它吗？我倾向于使用 LDAP，因为我们架构的另一个基本部分 RabbitMQ 有一个用于 LDAP 的身份验证/授权插件。系统上的用户将以受限方式访问 RabbitMQ，因此如果可能，我想将安全系统联系在一起。
• Kerberos 是我听说过的另一种安全身份验证协议。几年前我在密码学课上学到了一点，但不太记得了。我在网上看到有人建议它可以通过多种方式与LDAP结合使用。这是必要的吗？没有 Kerberos 的 LDAP 有哪些安全风险？我还记得卡内基梅隆大学开发的另一款软件中使用了 Kerberos...
• 安德鲁文件系统，或 AFS。OpenAFS 可以使用，但它的设置似乎有点复杂。在我的大学，AFS 提供了这两个要求……我可以登录到任何机器，并且我的“AFS 文件夹”始终可用（至少在我获得 AFS 令牌时）。

除了我应该研究哪条路径的建议之外，有人有任何特别有用的指南吗？正如粗体文本指出的那样，LDAP 看起来是最佳选择，但我对安全方面的实现细节（Keberos？NFS？）特别感兴趣。

我正在使用 OpenLDAP 服务器使用 Ubuntu 12.04。我已按照Ubuntu 帮助页面上的说明进行操作，并且可以在没有安全性的情况下愉快地连接。为了测试我的连接，我使用ldapsearch的命令如下：

ldapsearch -xv -H ldap://ldap.[my host].local -b dc=[my domain],dc=local -d8 -ZZ

我也用过：

ldapsearch -xv -H ldaps://ldap.[my host].local -b dc=[my domain],dc=local -d8

据我所知，我已经正确设置了我的证书，但无论我为什么尝试，我似乎都无法ldapsearch接受我的自签名证书。

到目前为止，我已经尝试过：

• 更新我的/etc/ldap/ldap.conf文件看起来像：

 BASE    dc=[my domain],dc=local
 URI     ldaps://ldap.[my host].local
 TLS_CACERT      /etc/ssl/certs/cacert.crt
 TLS_REQCERT allow

Run Code Online (Sandbox Code Playgroud)

• 更新我的/etc/ldap.conf文件看起来像：

base dc=[my domain],dc=local
uri ldapi:///ldap.[my host].local
uri ldaps:///ldap.[my host].local
ldap_version 3
ssl start_tls
ssl on
tls_checkpeer no
TLS_REQCERT allow

Run Code Online (Sandbox Code Playgroud)

• 更新我/etc/default/slapd的包括：

  SLAPD_SERVICES="ldap:/// ldapi:/// ldaps:///"

• 几个小时的谷歌搜索，其中大部分导致添加 TLS_REQCERT allow …

我有一个异常缓慢的 Redmine 实例（Bitnami Stack）。因为我只是想深入了解这个问题，所以我想在这里讨论一些理论。所以，如果有人对此有任何想法，请随时提供帮助:-)

系统：

Bitnami Stack with Redmine 1.4.x 升级到 Bitnami Stack with Redmine 2.1.0 像这样：

• mysqldump'd 旧数据库
• 使用 Redmine 2.1.0 安装了新的 Bitnami Stack
• 通过重新创建所有表干净地导入转储
• rake db:migrate 等等

该堆栈在具有 OpenSUSE 12.1 的虚拟机上运行。资源应该不是问题，因为总是有数 GB 的空闲 RAM 和 Redmine 请求上的 CPU 峰值仅达到 2 个 CPU 内核的 50%。此外，只有少数用户访问它。

可能非常重要的一点：用户登录是通过 LDAP (ActiveDirectory) 处理的。

问题：

对于每个请求，Redmine 的反应异常缓慢。有时需要 3 秒，有时甚至长达 10 秒才能交付页面。

我的想法：

• 我不知道在 Redmine 的 LDAP 设置中是否检查了“即时用户创建”，我只能在今天晚些时候检查这个。但是这里没有支票会是个问题吗？登录时，身份验证需要一些时间，这是正常和确认的。但是当不动态创建用户时，它是只保留一个会话还是对每个请求重新进行身份验证，所以这可能是问题所在？
• Redmine 2.x 是否可能比 1.4.x 慢得多，以至于它很正常？
• Bitnami 的 Apache2+Passenger 配置有问题吗？
• 考虑到 MySQL 在 CPU 上非常冷静，MySQL 索引不会成为问题，是吗？

还有一件对我来说似乎很奇怪的事情，但可能是错误的测量结果（明天看到机器时需要重新检查）：

我试图检查它是否是网络问题（网络反应缓慢，可能是 …

Red Hat 推荐我在 /etc/nsswitch.conf 中使用 compat 模式作为枚举 LDAP 用户的选项之一，但后来表示这不是一个经常使用的方法。

nsswitch.conf
passwd: files compat
passwd_compat: ldap

in passwd file, add +@netgroup.

这是什么兼容模式？

题

是否有一个“正确” /标准来区分的方式Service Accounts从User Accounts公元？

更多信息

在某些情况下，我们的系统在 AD 凭据下运行（即在服务帐户下）。这些服务帐户的创建方式与用户帐户完全相同；唯一的区别是名称和描述。已经做了一些事情来区分两种帐户类型（例如帐户所在的 OU，是否启用了“密码永不过期”，如果描述中包含“服务帐户”），但没有一个规则可以可以应用于一切以清楚地区分两者。

展望未来，我们希望改进这个/春季清洁的东西，以明确区分。为此，我们可能会同时使用 OU 和描述字段。

在这样做之前，虽然我想检查一下；是应该这样做的一种方式；即专门用于此目的的某些属性（可能是一个与 Person 不同的 objectCategory 值？），或公认的标准命名约定，或者每个公司是否都有自己的方法？