Verwalten und Verwenden von LDAP-Servern mit OpenLDAP-Dienstprogrammen

Für die OpenLDAP-Tools müssen Sie für jeden Vorgang eine Authentifizierungsmethode und einen Serverstandort angeben. Verwenden Sie zum Angeben des Servers das Flag-H, gefolgt vom Protokoll und dem Netzwerkspeicherort des betreffenden Servers.

Für eine einfache, unverschlüsselte Kommunikation lautet das Protokollschemaldap:// wie folgt:

Wenn Sie mit einem lokalen Server kommunizieren, können Sie den Serverdomänennamen oder die IP-Adresse weglassen (das Schema muss noch angegeben werden).

Wenn Sie LDAP über SSL verwenden, um eine Verbindung zu Ihrem LDAP-Server herzustellen, möchten Sie stattdessen das Schemaldaps://verwenden (beachten Sie, dass dies eine veraltete Methode ist. Das OpenLDAP-Projekt empfiehlt stattdessen die Verwendung eines STARTTLS-Upgrades auf dem normalen LDAP-Port. Erfahren Sie, wie Sie dies einrichtenhere):

Diese Protokolle setzen den Standardport voraus (389 für herkömmliches LDAP und636 für LDAP über SSL). Wenn Sie einen nicht standardmäßigen Port verwenden, müssen Sie diesen am Ende mit einem Doppelpunkt und der Portnummer hinzufügen.

Um eine Verbindung zu einem LDAP-Verzeichnis auf dem Server herzustellen, den Sie über Linux IPC (Interprozesskommunikation) abfragen, können Sie das Protokollldapi://verwenden. Dies ist sicherer und für einige Verwaltungsaufgaben erforderlich:

Da dasldapi-Schema eine lokale Verbindung erfordert, müssen wir hier niemals einen Servernamen angeben. Wenn Sie jedoch den Socket-Dateispeicherort in der LDAP-Serverkonfiguration geändert haben, müssen Sie den neuen Socket-Speicherort als Teil der Adresse angeben.

LDAP erfordert, dass sich Clients identifizieren, damit der Server die Zugriffsebene zum Gewähren von Anforderungen bestimmen kann. Dies funktioniert mithilfe eines LDAP-Mechanismus namens "Bindung", der im Grunde genommen nur ein Begriff für die Zuordnung Ihrer Anforderung zu einer bekannten Sicherheitseinheit ist. Es gibt drei verschiedene Authentifizierungstypen, die LDAP versteht.

Der allgemeinste Authentifizierungstyp, den ein Client verwenden kann, ist eine anonyme Bindung. Dies ist so ziemlich das Fehlen einer Authentifizierung. LDAP-Server können bestimmte Vorgänge als für jedermann zugänglich einstufen (normalerweise ist die öffentlich zugängliche DIT für anonyme Benutzer als schreibgeschützt konfiguriert). Wenn Sie eine anonyme Bindung verwenden, stehen Ihnen diese Vorgänge zur Verfügung.

Die OpenLDAP-Tools setzen standardmäßig die SASL-Authentifizierung voraus (wir werden dies gleich diskutieren). Um eine anonyme Bindung zu ermöglichen, müssen wir das Argument-xangeben. In Kombination mit der Serverspezifikation sieht dies ungefähr so ​​aus:

Wenn Sie dies eingeben, ohne zusätzliche Argumente anzugeben, sollten Sie Folgendes erhalten:

Ausgabe für ldapsearch mit anonymer Bindung

Dies besagt, dass das Tool nicht gefunden hat, wonach wir gesucht haben. Da wir keine Abfrageparameter angegeben haben, wird dies erwartet, aber es zeigt uns, dass unsere anonyme Bindung vom Server akzeptiert wurde.

Die zweite Methode zur Authentifizierung bei einem LDAP-Server ist eine einfache Bindung. Eine einfache Bindung verwendet einen Eintrag auf dem LDAP-Server, um die Anforderung zu authentifizieren. Der DN (Distinguished Name) des Eintrags fungiert als Benutzername für die Authentifizierung. Innerhalb des Eintrags definiert ein Attribut ein Passwort, das bei der Anfrage angegeben werden muss.

SASL steht für einfache Authentifizierung und Sicherheitsschicht. Es ist ein Framework für die Verknüpfung von Authentifizierungsmethoden mit Protokollen, um ein flexibles Authentifizierungssystem bereitzustellen, das nicht an eine bestimmte Implementierung gebunden ist. Sie können diewikipedia page überprüfen, um mehr über die verschiedenen verfügbaren Methoden zu erfahren.

Ihr LDAP-Server unterstützt wahrscheinlich nur einen Teil der möglichen SASL-Mechanismen. Um herauszufinden, welche Mechanismen dies zulässt, können Sie Folgendes eingeben:

Die angezeigten Ergebnisse unterscheiden sich je nach dem Schema, mit dem Sie die Verbindung hergestellt haben. Für das unverschlüsselteldap://-Schema erlauben die meisten Systeme standardmäßig Folgendes:

ldap:// supportedSASLMechanisms

Wenn Sie dasldapi://-Schema verwenden, das eine sichere Interprozesskommunikation verwendet, haben Sie wahrscheinlich eine erweiterte Auswahlliste:

ldapi:// supportedSASLMechanisms

Das Konfigurieren der meisten SASL-Authentifizierungsmethoden kann einige Zeit in Anspruch nehmen, weshalb wir hier nicht auf viele Details eingehen. Während die SASL-Authentifizierung im Allgemeinen nicht in den Geltungsbereich dieses Artikels fällt, sollten wir über dieEXTERNAL-Methode sprechen, die für dasldapi://-Schema verfügbar ist.

Der MechanismusEXTERNALgibt an, dass Authentifizierung und Sicherheit auf andere Weise mit der Verbindung verbunden sind. Beispielsweise kann es mit SSL verwendet werden, um Verschlüsselung und Authentifizierung bereitzustellen.

Am häufigsten wird es mit derldapi://-Schnittstelle mit den Root- odersudo-Benutzern verwendet. Daldapi:// Unix-Sockets verwendet, kann der Benutzer, der die Anforderung initiiert, abgerufen und zur Authentifizierung für bestimmte Vorgänge verwendet werden. Das DIT, das LDAP für die Konfiguration verwendet, verwendet diesen Mechanismus, um den Root-Benutzer zum Lesen und Ändern von LDAP zu authentifizieren. Diese Anfragen sehen ungefähr so ​​aus:

Dies wird verwendet, um die LDAP-Konfiguration zu ändern, die normalerweise in einem DIT gespeichert wird, beginnend mit dem Stammeintrag voncn=config.

Wir haben die Verbindungsinformationen bisher hauptsächlich in der Befehlszeile angegeben. Sie können sich jedoch die Eingabe ersparen, indem Sie einige der allgemeinen Verbindungswerte in eine Konfigurationsdatei einfügen.

Die globale Client-Konfigurationsdatei befindet sich bei/etc/ldap/ldap.conf. Sie möchten jedoch hauptsächlich Änderungen an der Konfigurationsdatei Ihres Benutzers hinzufügen, die sich in Ihrem Ausgangsverzeichnis bei~/.ldaprc befindet. Erstellen und öffnen Sie eine Datei mit diesem Namen in Ihrem Texteditor:

Im Inneren sind die Grundeinstellungen, die Sie wahrscheinlich konfigurieren möchten,BASE,URI undBINDDN:

Dies kümmert sich um die einfachen Authentifizierungsinformationen. Wenn Sie die SASL-Authentifizierung verwenden, überprüfen Sieman ldap.conf, um die Optionen zum Konfigurieren der SASL-Anmeldeinformationen anzuzeigen.

Wenn der Basiseintrag unseres LDAPdc=example,dc=com ist, sich der Server auf dem lokalen Computer befindet und wir diecn=admin,dc=example,dc=com zum Binden verwenden, haben wir möglicherweise eine~/.ldaprc-Datei, die folgendermaßen aussieht:

~/.ldaprc

Auf diese Weise können wir eine einfache Suche durchführen, indem wir nur die Nicht-SASL-Authentifizierung angeben und das Kennwort angeben, das dem Administratoreintrag zugeordnet ist. Dies würde eine vollständige Teilbaumsuche des angegebenen Standard-Basis-DN ermöglichen:

Dies kann dazu beitragen, die Verbindungsoptionen für "Boilerplate" zu verkürzen, wenn Sie die LDAP-Dienstprogramme verwenden. In diesem Handbuch werden die Verbindungsinformationen explizit in die Befehle aufgenommen. Wenn Sie die Befehle ausführen, können Sie jedoch jeden Teil entfernen, den Sie in Ihrer Konfigurationsdatei angegeben haben.

In LDAP wird der Ort, an dem eine Suche beginnt, alssearch base bezeichnet. Dies ist ein Eintrag innerhalb eines DIT, von dem aus die Operation beginnt und als Anker fungiert. Wir geben die Suchbasis an, indem wir den Eintragsnamen mit dem Flag-b übergeben.

Um beispielsweise an der Wurzel unsererdc=example,dc=com DIT zu beginnen, können wir diese wie folgt als Suchbasis verwenden:

Dieser Befehl sollte jeden Eintrag unter dem Eintragdc=example,dc=comerzeugen, auf den der Benutzer, an den Sie gebunden haben, Zugriff hat. Wenn wir einen anderen Eintrag verwenden, würde ein anderer Abschnitt des Baums erhalten. Wenn wir zum Beispiel mit dem Administratoreintrag beginnen, erhalten Sie möglicherweise nur den Administratoreintrag selbst:

Suchbasis bei cn = admin, dc = example, dc = com

Wir haben die Basis in diesen Beispielen angegeben, können aber die Art und Weise, in der das Tool nach Ergebnissen sucht, durch Angabe des Suchbereichs weiter beeinflussen. Diese Option wird durch die Option-s festgelegt und kann eine der folgenden sein:

Mit dem Flag-s und dem Flag-b können wir beginnen, die Bereiche der DIT zu formen, in die das Werkzeug schauen soll. Zum Beispiel können wir alle untergeordneten Elemente der ersten Ebene unseres Basiseintrags sehen, indem wir den Gültigkeitsbereich vononewie folgt verwenden:

Wir haben am Ende-LLL dn hinzugefügt, um die Ausgabe ein wenig zu filtern. Wir werden dies später in diesem Artikel weiter diskutieren. Wenn wir dem Baum einige weitere Einträge hinzugefügt hätten, hätte dies möglicherweise zu folgenden Ergebnissen geführt:

Ausgabe

Wenn wir alles unter dem Eintragou=peopleehen möchten, können wir dies als Suchbasis festlegen und den Bereichchildrenverwenden:

Durch Ändern der Suchbasis und des Suchbereichs können Sie nur die Teile der DIT bearbeiten, an denen Sie interessiert sind. Dadurch wird die Leistung Ihrer Abfrage verbessert, indem nur ein Abschnitt des Baums durchsucht wird, und es werden nur die Einträge zurückgegeben, an denen Sie interessiert sind.

Bevor wir fortfahren, sprechen wir darüber, wie Sie einen Teil der zusätzlichen Ausgabe entfernen können, dieldapsearch erzeugt.

Der Großteil der zusätzlichen Ausgabe wird mit-L Flags gesteuert. Sie können null bis drei-L Flags verwenden, abhängig von der Ausgabestufe, die Sie sehen möchten. Je mehr-L Flags Sie hinzufügen, desto mehr Informationen werden unterdrückt. Es ist möglicherweise eine gute Idee, beim Lernen oder bei der Fehlerbehebung keine Ausgabe zu unterdrücken. Im normalen Betrieb führt die Verwendung aller drei Ebenen jedoch wahrscheinlich zu einer besseren Erfahrung.

Wenn Sie die SASL-Authentifizierung verwenden und beispielsweise die DIT voncn=configändern, können Sie zusätzlich das Flag-Q verwenden. Dadurch wird der stille SASL-Modus aktiviert, in dem alle SASL-bezogenen Ausgaben entfernt werden. Dies ist in Ordnung, wenn Sie die-Y EXTERNAL-Methode verwenden. Seien Sie jedoch vorsichtig, wenn Sie einen Mechanismus verwenden, der zur Eingabe von Anmeldeinformationen auffordert, da dies ebenfalls unterdrückt wird (was zu einem Authentifizierungsfehler führt).

Um tatsächlich eine Suche durchzuführen, anstatt einfach den gesamten Suchbereich auszugeben, müssen Sie den Suchfilter angeben.

Diese können am Ende der Zeile platziert werden und die Form eines Attributtyps, eines Vergleichsoperators und eines Werts haben. Oft werden sie in Anführungszeichen gesetzt, um die Interpretation durch die Shell zu verhindern. Klammern werden verwendet, um die Grenzen eines Filters von einem anderen zu kennzeichnen. Diese sind bei einfachen Suchvorgängen mit nur einem Attribut optional, bei komplexeren zusammengesetzten Filtern jedoch erforderlich. Wir werden sie hier verwenden, um besser anzuzeigen, wo sich der Suchfilter befindet.

Als Beispiel könnten wir sehen, ob es einen Eintrag in der DIT vondc=example,dc=commit einem Benutzernamen (uid) gibt, das auf "jsmith" gesetzt ist. Dadurch wird jeder Eintrag im Suchbereich nach einem Attribut durchsucht, das auf diesen Wert festgelegt ist:

Im obigen Beispiel haben wir den Gleichheitsoperator verwendet, der die exakte Übereinstimmung mit dem Wert eines Attributs überprüft. Es gibt auch verschiedene andere Operatoren, die wie erwartet funktionieren. Um beispielsweise nach Einträgen zu suchen, bei denencontainein Attribut ist, ohne sich um den eingestellten Wert zu kümmern, können Sie den Operator "Präsenz" verwenden, bei dem es sich einfach um ein Gleichheitszeichen mit einem Platzhalter auf der rechten Seite des Vergleichs handelt. Wir könnten nach Einträgen suchen, die ein Passwort enthalten, indem wir Folgendes eingeben:

Einige nützliche Suchfilter sind:

Sie können die meisten Suchvorgänge auch annullieren, indem Sie den Suchfilter in zusätzliche runde Klammern setzen, denen das Negationssymbol „!“ Vorangestellt ist. Um beispielsweise nach allen Einträgen für Organisationseinheiten zu suchen, könnten wir diesen Filter verwenden:

Um nach allen Einträgen zu suchen, bei denen es sich umnot-Einträge von Organisationseinheiten handelt, können Sie diesen Filter verwenden:

Der Negationsmodifikator kehrt die Bedeutung des folgenden Suchfilters um.

Nach der Filterspezifikation können wir auch Attribut-Ausgabefilter hinzufügen. Dies ist nur eine Liste von Attributen, die Sie für jeden übereinstimmenden Eintrag anzeigen möchten. Standardmäßig wird für jeden übereinstimmenden Eintrag jedes Attribut angezeigt, auf das Ihre Anmeldeinformationen Lesezugriff haben. Wenn Sie einen Attribut-Ausgabefilter festlegen, können Sie genau angeben, welche Art von Ausgabe Sie sehen möchten.

Zum Beispiel können wir nach allen Einträgen suchen, die Benutzer-IDs haben, aber nur die zugehörigencommon name jedes Eintrags anzeigen, indem wir Folgendes eingeben:

Dies könnte eine Liste ergeben, die so aussieht:

Ausgabe

Wenn wir auch deren Eintragsbeschreibung sehen möchten, können wir dies einfach zur Liste der anzuzeigenden Attribute hinzufügen:

Es würde stattdessen so etwas zeigen:

Ausgabe

Wenn kein Attributfilter angegeben ist, werden alle Attribute zurückgegeben. Dies kann mit dem Zeichen "*" explizit angegeben werden. Um Betriebsattribute (spezielle Metadatenattribute, die im Hintergrund für jeden Eintrag verwaltet werden) zurückzugeben, können Sie das spezielle "+" - Symbol verwenden. Um beispielsweise die Betriebsattribute für unseren rootDN anzuzeigen, können Sie Folgendes eingeben:

Die Ergebnisse würden ungefähr so ​​aussehen:

Ausgabe

Bei der zusammengesetzten Suche werden zwei oder mehr einzelne Suchfilter kombiniert, um genauere Ergebnisse zu erhalten. Suchfilter werden kombiniert, indem sie in andere Klammern mit einem Vergleichsoperator als erstem Element eingeschlossen werden. Dies ist einfacher zu demonstrieren als zu erklären.

Die Vergleichsoperatoren sind das "&" - Zeichen, das als logisches UND fungiert, und das "|" - Zeichen, das ein logisches ODER kennzeichnet. Diese stehen vor den Filtern, deren Beziehungen sie in einem äußeren Satz von Klammern definieren.

Um also nach einem Eintrag zu suchen, der sowohl eine Beschreibung als auch eine E-Mail-Adresse in unserer Domain enthält, könnten wir einen Filter wie diesen erstellen:

Damit ein Eintrag zurückgegeben werden kann, müssen beide Attribute definiert sein.

Das ODER-Symbol gibt die Ergebnisse zurück, wenn einer der Unterfilter wahr ist. Wenn wir Einträge ausgeben möchten, für die wir Kontaktinformationen haben, können wir einen Filter wie diesen versuchen:

Hier sehen wir, dass der Operator auf mehr als zwei Unterfilter angewendet werden kann. Wir können diese logischen Konstruktionen auch nach Bedarf verschachteln, um recht komplexe Muster zu erstellen.

Nachdem Sie diese Boilerplate-Optionen angegeben haben, lesen Sie am häufigsten eine LDIF-Datei ein und wenden Sie sie auf das DIT an. Dies kann mit der Option-f erreicht werden (wenn Sie die Option-f nicht verwenden, müssen Sie eine Änderung im LDIF-Format in der Befehlszeile eingeben). Sie müssen die LDIF-Datei unter Verwendung der in der oben verlinkten Anleitung beschriebenen Syntax selbst erstellen:

Dadurch wird die LDIF-Datei gelesen und die darin angegebenen Änderungen angewendet. Für den Befehlldapmodify sollte für jede LDIF-Änderung einchangetype angegeben werden. Der Befehlldapmodify ist die allgemeinste Form der DIT-Manipulationsbefehle.

Wenn Ihre LDIF-Datei neue Einträge hinzufügt unddoes notchangetype: add für jeden Eintrag enthält, können Sie das Flag-a mitldapmodify oder einfachldapadd verwenden Befehl, der dieses Verhalten grundsätzlich aliasisiert. Zum Beispiel würde eine LDIF-Datei, derenincludeschangetype ist, folgendermaßen aussehen:

LDIF mit Änderungstyp

Um diese Datei zu verarbeiten, können Sie einfachldapmodify verwenden:

Die Datei könnte jedoch auch wie folgt aufgebaut werden:without thechangetype:

LDIF ohne Änderungstyp

In diesem Fall müssten Sie zum Hinzufügen dieses Eintrags zum DIT entweder das Flag-a mitldapmodify oder den Befehlldapadd verwenden. Entweder:

Oder dieses:

Ähnliche Befehle stehen zum Löschen von Einträgen (ldapdelete) und zum Verschieben von LDAP-Einträgen (ldapmodrdn) zur Verfügung. Mit diesen Befehlen müssen Siechangetype: delete undchangetype: modrdn nicht mehr explizit in den Dateien angeben. Für jedes dieser Formate können Sie das zu verwendende Format festlegen (ob die Änderung in der LDIF-Datei oder in der Befehlszeile angegeben werden soll).

Wenn Sie eine LDIF-Datei trocken laufen lassen möchten, können Sie die Flags-n und-v verwenden. Hier erfahren Sie, welche Änderung ohne Änderung der tatsächlichen DIT durchgeführt werden würde:

Wenn beim Verarbeiten einer LDIF-Datei ein Fehler auftritt, wird der Vorgang normalerweise sofort abgebrochen. Dies ist im Allgemeinen die sicherste Vorgehensweise, da Änderungsanforderungen zu einem späteren Zeitpunkt in der Datei häufig die DIT unter der Annahme ändern, dass die früheren Änderungen korrekt angewendet wurden.

Wenn Sie jedoch möchten, dass der Befehl die Datei durchläuft und die fehlerverursachenden Änderungen überspringt, können Sie das Flag-cverwenden. Sie möchten wahrscheinlich auch das Flag-Sverwenden, um auf eine Datei zu verweisen, in die die Fehler geschrieben werden können, damit Sie die fehlerhaften Anforderungen beheben und erneut ausführen können:

Auf diese Weise erhalten Sie ein Protokoll (mit Kommentaren zu den betreffenden Einträgen), das Sie nach der Operation auswerten können.

Wenn einige Ihrer LDAP-Einträge Kennwörter haben, können Sie den Eintrag mit dem Befehlldappasswdändern. Dies funktioniert, indem Sie sich mit dem betreffenden Konto oder einem Administratorkonto authentifizieren und anschließend das neue Kennwort (und optional das alte Kennwort) eingeben.

Das alte Passwort sollte entweder mit dem Flag-a (das alte Passwort wird als nächstes Element inline angegeben), dem Flag-A (das alte Passwort wird angefordert) oder-t Flag (das alte Passwort wird aus der als nächstes Element angegebenen Datei gelesen). Dies ist für einige LDAP-Implementierungen optional, wird jedoch von anderen benötigt.

Das neue Passwort sollte entweder mit dem Flag-s (das neue Passwort wird als nächstes Element inline angegeben), dem Flag-S (das neue Passwort wird angefordert) oder-T Flag (das neue Passwort wird aus der als nächstes Element angegebenen Datei gelesen).

Eine typische Änderung könnte also so aussehen:

Wenn kein Eintrag angegeben wird, wird der Eintrag, der für die Bindung verwendet wird, geändert. Wenn Sie an einen Administratoreintrag gebunden sind, können Sie andere Einträge ändern, auf die Sie Schreibzugriff haben, indem Sie sie nach dem Befehl bereitstellen.

Weitere Informationen zum Ändern und Zurücksetzen von Kennwörtern finden Sie unterthis guide.

Mit dem Befehlldapwhoamikönnen Sie feststellen, wie der LDAP-Server Sie nach der Authentifizierung sieht.

Wenn Sie eine anonyme oder einfache Authentifizierung verwenden, sind die Ergebnisse wahrscheinlich nicht allzu nützlich ("anonym" oder genau der Eintrag, an den Sie sich binden). Bei der SASL-Authentifizierung kann dies jedoch Aufschluss darüber geben, wie Ihr Authentifizierungsmechanismus angezeigt wird.

Wenn wir beispielsweise den SASL-Mechanismus-Y EXTERNAL mitsudo verwenden, um Operationen an der DITcn=config auszuführen, können wir mitldapwhoami überprüfen, ob der Authentifizierungs-DN angezeigt wird:

ldapwhoami-Ausgabe

Dies ist kein tatsächlicher Eintrag in unserer DIT, es ist nur, wie die SASL-Authentifizierung in ein Format übersetzt wird, das LDAP verstehen kann. Das Anzeigen des Authentifizierungs-DN kann jedoch zum Erstellen von Zuordnungen und Zugriffsbeschränkungen verwendet werden. Daher sollten Sie wissen, wie Sie diese Informationen abrufen können.

Mit dem Toolldapurlkönnen Sie LDAP-URLs erstellen, indem Sie die verschiedenen an Ihrer Abfrage beteiligten Komponenten angeben. Mit LDAP-URLs können Sie Ressourcen von einem LDAP-Server über eine standardisierte URL anfordern. Dies sind nicht authentifizierte Verbindungen und schreibgeschützt. Viele LDAP-Lösungen unterstützen keine LDAP-URLs mehr zum Anfordern von Ressourcen, sodass deren Verwendung je nach verwendeter Software eingeschränkt sein kann.

Die Standard-LDAP-URL wird mit der folgenden Syntax formatiert:

Die Komponenten sind wie folgt:

Jedes Element ist in der URL durch ein Fragezeichen getrennt. Sie müssen nicht die Elemente bereitstellen, die Sie nicht verwenden. Da der Elementtyp jedoch durch seine Position in der Zeichenfolge identifiziert wird, müssen Sie für dieses Element das Feld "slot" leer lassen, wodurch Sie mehrere Fragezeichen in erhalten eine Reihe. Sie können die URL stoppen, sobald Sie Ihre Informationen hinzugefügt haben (Sie benötigen keine Fragezeichen am Ende, um nicht verwendete "Slots" darzustellen).

Eine URL könnte beispielsweise so aussehen:

Wenn Sie dies in das Toolldapurleingeben, verwenden Sie das Flag-H und setzen die URL in Anführungszeichen:

Der Befehl würde es folgendermaßen aufteilen:

LDAPURL-Ausgabe

Sie können diese Flags auch verwenden, um den Prozess umzukehren und eine LDAP-URL zusammenzufügen. Diese spiegeln die verschiedenen Komponenten der LDAP-URL wider:

Mit diesen könnten Sie so etwas eingeben:

Der Befehl würde die erstellte URL zurückgeben, die folgendermaßen aussehen würde:

LDAPURL-Ausgabe

Mit dieser Option können Sie URLs erstellen, die mit einem LDAP-Client verwendet werden können, der in der Lage ist, mit diesem Format zu kommunizieren.

Mit dem Toolldapcomparekann das Attribut eines Eintrags mit einem Wert verglichen werden. Dies wird verwendet, um einfache Assertionsprüfungen durchzuführen, um Daten zu validieren.

Der Prozess umfasst das Binden wie gewohnt, abhängig von den abgefragten Daten, wobei der Eintrags-DN und die zu überprüfende Zusicherung bereitgestellt werden. Die Zusicherung erfolgt durch Angabe eines Attributs und anschließend eines Wertes, der durch ein oder zwei Doppelpunkte getrennt ist. Für einfache Zeichenfolgenwerte sollte ein einzelner Doppelpunkt verwendet werden. Ein Doppelpunkt zeigt an, dass ein Base64-codierter Wert angegeben wurde.

Sie können also behaupten, dass John ein Mitglied der "Powerusers" -Gruppe ist.

Wenn er in der Gruppe ist, wirdTRUE zurückgegeben. Wenn nicht, gibt der BefehlFALSE zurück. Wenn der zum Binden verwendete DN nicht über ausreichende Berechtigungen zum Lesen des betreffenden Attributs verfügt, wirdUNDEFINED zurückgegeben.

Dies könnte als Grundlage für ein Autorisierungssystem verwendet werden, indem die Gruppenzugehörigkeit überprüft wird, bevor die angeforderten Aktionen ausgeführt werden.