ldap 使用者組和使用者（4）

摘要： Posixgroup使用者組屬性 預設情況下openldap的使用者組屬性是Posixgroup，Posixgroup使用者組屬性和使用者沒有實際的對應關係。如果我們一定要把Posixgroup和user對應起來的話，就需要單獨把使用者設定到Posixgroup中。 新增使用者組 ...

Posixgroup使用者組屬性

預設情況下openldap的使用者組屬性是Posixgroup，Posixgroup使用者組屬性和使用者沒有實際的對應關係。如果我們一定要把Posixgroup和user對應起來的話，就需要單獨把使用者設定到Posixgroup中。

新增使用者組

[root@zabbix1 ~]# cat group.ldif 
dn: cn=yunweizu,ou=Group,dc=test,dc=com
objectClass: posixGroup
objectClass: top
cn: yunweizu
gidNumber: 10002
description: 運維組
[root@zabbix1 ~]# ldapadd -x -w "1234qwer" -D "cn=root,dc=test,dc=com" -f /root/group.ldif 
adding new entry "cn=yunweizu,ou=Group,dc=test,dc=com"

現在雖然添加了組但是還沒有關聯起來需要在組裡加一個值

以上設定基本可以滿足大部分業務場景的需要，但是如果我們需要根據使用者組來過濾使用者的話，Posixgroup使用者組屬性，是無法滿足需要的。比如：nginx與openldap整合過濾使用者組時、proftpd與openldap整合過濾使用者組時、openvpn與openldap整合過濾使用者組時、gitlab與openldap整合過濾使用者組時,Posixgroup使用者組屬性是無法滿足的。

此時我們就需要使用groupOfUniqueNames使用者組屬性。

GroupOfUniqueNames使用者組屬性

groupOfUniqueNames使用者組屬性，是可以根據使用者組過濾使用者，這個過濾是唯一的。

要配置groupOfUniqueNames使用者組屬性，我們需要在openldap中新增相關的配置

[root@zabbix1 ~]# cat memberof_config.ldif 
dn: cn=module,cn=config
: module
▽bjectClass: olcModuleList
olcModuleLoad: memberof
olcModulePath: /usr/lib64/openldap

dn: olcOverlay={0}memberof,olcDatabase={2}hdb,cn=config
objectClass: olcConfig
objectClass: olcMemberOf
objectClass: olcOverlayConfig
objectClass: top
olcOverlay: memberof
olcMemberOfDangling: ignore
olcMemberOfRefInt: TRUE
olcMemberOfGroupOC: groupOfNames
olcMemberOfMemberAD: member
olcMemberOfMemberOfAD: memberOf

[root@zabbix1 ~]# ldapadd -Q -Y EXTERNAL -H ldapi:/// -f memberof_config.ldif
adding new entry "cn=module,cn=config"

adding new entry "olcOverlay={0}memberof,olcDatabase={2}hdb,cn=config"

[root@zabbix1 ~]# vim refint1.ldif
dn: cn=module{0},cn=config
add: olcmoduleload
olcmoduleload: refint
"refint1.ldif" [New] 3L, 68C written
[root@zabbix1 ~]# ldapmodify -Q -Y EXTERNAL -H ldapi:/// -f refint1.ldif
modifying entry "cn=module{0},cn=config"

[root@zabbix1 ~]# vim refint2.ldif
dn: olcOverlay={1}refint,olcDatabase={2}hdb,cn=config
objectClass: olcConfig
objectClass: olcOverlayConfig
objectClass: olcRefintConfig
objectClass: top
olcOverlay: {1}refint
olcRefintAttribute: memberof member manager owner
"refint2.ldif" [New] 7L, 225C written
[root@zabbix1 ~]# ldapmodify -Q -Y EXTERNAL -H ldapi:/// -f refint2.ldif
ldapmodify: modify operation type is missing at line 2, entry "olcOverlay={1}refint,olcDatabase={2}hdb,cn=config"
[root@zabbix1 ~]# ldapadd -Q -Y EXTERNAL -H ldapi:/// -f refint2.ldif
adding new entry "olcOverlay={1}refint,olcDatabase={2}hdb,cn=config"

匯入使用者組

[root@zabbix1 ~]# vim group1.ldif 
dn: cn=yunweizu,ou=Group,dc=test,dc=com
objectClass: groupOfUniqueNames
objectClass: top
cn: yunweizu
description: 運維組
uniqueMember: uid=test,ou=People,dc=test,dc=com
~
"group1.ldif" 6L, 173C written
[root@zabbix1 ~]# ldapadd -x -w "1234qwer" -D "cn=root,dc=test,dc=com" -f /root/group1.ldif 
adding new entry "cn=yunweizu,ou=Group,dc=test,dc=com"

通過上圖，我們可以很明顯的看出groupOfUniqueNames使用者組屬性的成員屬性為 uniqueMember 。

如果此時把使用者加入到該使用者組後，我們是可以在使用者組中直接看到該使用者的。

也就說使用groupOfUniqueNames使用者組屬性的組，使用者組與使用者可以直接進行關聯。

[root@zabbix1 ~]# ldapsearch -x -LLL -H ldap://127.0.0.1 -x -D cn=root,dc=test,dc=com -w "1234qwer"-b uid=test,ou=People,dc=test,dc=com dn uniqueMember
dn: uid=test,ou=People,dc=test,dc=com

通過上圖，我們可以很明顯的看出groupOfUniqueNames使用者組屬性已經配置完畢。

這樣第三方在呼叫openldap進行組過濾，就可以直接使用了。

參考網站

https://www.ilanni.com/?p=14127

https://www.ilanni.com/?p=13775

https://www.cnblogs.com/lemon-le/p/6266921.html

https://www.openldap.org/doc/admin24/