LDAP配置

LDAP 中的访问控制列表本节介绍Senior Level Linux Professional (LPIC-3) 301 考试的303.2 主题的内容。

此主题的权值是2。

在本节中，学习如何：∙计划LDAP 访问控制列表∙了解访问控制语法∙授予和撤消LDAP 访问权限LDAP 树中可以存储各种数据，包括电话号码、出生日期和工资表信息。

其中一些数据可能是公开的，一些数据可能只能由由特定的人访问。

根据用户的不同，同样的信息可能有不同的限制。

例如，也许只有记录的所有者和管理员可以更改电话号码，但是每个人都可以读取这些号码。

访问控制列表(ACL) 处理这些限制的配置。

计划LDAP 访问控制列表在开始编写配置之前，应该确定要实现的目标。

树的哪部分包含敏感信息？哪些属性需要保护，保护其不被谁访问？如何使用树？ACL 的组件ACL 条目提供三条信息：1.ACL 指定what条目和属性2.ACL 应用于who3.授予的access级别指定 “what” 子句时，可以选择根据对象的区分名（distinguished name ，DN ）、LDAP 风格的查询筛选器、属性列表或以上三者的组合来进行筛选。

最简单的子句允许一切内容，但也可以有很多限制。

根据 DN 筛选允许您指定精确匹配，比如ou=People,dc=ertw,dc=com 或正则表达式 （参阅 “正则表达式”）查询筛选器可以匹配特定的 objectClass 或其他属性。

属性列表中的属性名称用逗号分隔。

更复杂的匹配条件可以是 “身份是管理员的ou=People,dc=ertw,dc=com 下的所有密码条目”。

可以灵活地确定将 ACL 应用于 who 。

用户一般由绑定到树上的 DN 来识别，这称为 bindDN 。

每个 LDAP 条目可以具有一个userPassword 属性，用于对特定的用户进行身份验证。

在一些上下文中，您可以将当前登录的用户称为自己， 这有利于允许用户编辑自己的详细信息。

如果用户没有绑定，则被视为匿名用户。

默认情况下，匿名用户可以读取树，所以您必须决定是否需要更改此行为。

可以通过 IP 地址或用于连接的方法（比如明文和加密的方法）来对匿名用户（或任何用户）进行分割。

一旦确定了 what 和 who ，必须确定访问级别。

访问权限可以是无 一直到写 访问。

还可以指定用户可以验证条目，但不可以读取；或可以允许用户读取、搜索和比较访问。

无论如何配置您的 ACL ，任何已配置的 rootDN 用户可以完全控制其数据库。

不可以对此进行更改，除非将 rootDN 配置从 slapd.conf 中移除。

了解访问控制语法ACL 的基本格式使用 Backus-Naur Form 表示，也就是：access to <what> [ by <who> [ <access> ] [ <control> ] ]+描述 whatwhat 描述 ACL 强制的属性和条目。

实现此目标的 BNF 表示法如清单 1 所示。

清单 1. ACL 的 what 部分的 BNF 描述清单1 的一些元素在此处没有定义，例如DN 和正则表达式。

区分名的形式是已知的，正则表达式最好在BNF 之外研究。

清单1 显示了ACL 的what 部分的描述可以是星号字符(*)（它可以匹配一切内容），或者是DN、LDAP 筛选器、属性列表的组合。

后者可以使用三个组件中的一个或多个，因为它们分别被方括号括起来。

清单2 显示了与DN 匹配的三个what 子句清单 2. 三个示例what 子句第一个示例仅与ou=people,dc=ertw,dc=com条目匹配。

如果使用此ACL，则它不与任何子条目匹配，例如cn=Sean Walberg,ou=people,dc=ertw,dc=com，也不与父条目匹配。

第二个示例与第一个相似，但是它使用正则表达式，并使用美元符号($) 字符锚定（anchor）搜索字符串。

锚与字符串的位置匹配，而不是与字符串的一部分匹配。

美元符号与字符串的结尾部分匹配，因此第二个示例与以ou=people,dc=ertw,dc=com结尾的任何条目匹配，包括cn=SeanWalberg,ou=people,dc=ertw,dc=com。

注意，如果没有锚，搜索字符串可以位于目标内的任何位置，例如ou=people,dc=ertw,dc=com,o=MegaCorp。

清单2 中的第三个示例显示另一个锚，^，它与字符串的开始部分匹配。

第三个示例也使用另一个正则表达式.*。

句点与任何一个字符匹配，星号与0 个或多个前导字符匹配。

因此.*与一个或多个字符的任何字符串匹配。

总之，第三个示例与以cn=Sean开始、以dc=com结尾的任何条目匹配。

还可以根据LDAP 查询进行筛选，这对objectClass上的搜索最有帮助。

例如，filter=(objectClass=posixAccount)的what 子句仅与具有posixAccount的objectClass的条目匹配。

要复习objectClass，请查看此系列的第一篇教程，LPI 301 考试准备：概念、体系结构和设计。

what 子句的最后一个选项是指定属性。

最常见的用法是限制谁可以查看私有属性，尤其是密码。

使用attrs=userPassword匹配密码属性。

一旦确定了要匹配的的条目和属性，就必须描述规则将应用于谁。

描述who访问将根据在客户机绑定到树时提供的DN 来应用到用户。

DN 通常可以在树上找到，但也可能是slapd.conf 中提供的rootDN。

清单3 显示ACL 的who 部分的BNF 表示法。

清单 3. 匹配ACL 的who 部分的BNF 表示法<who> ::= * | [anonymous | users | self[.<selfstyle>]| dn[.<basic-style>]=<regex> |dn.<scope-style>=<DN>][dnattr=<attrname>][group[/<objectclass>[/<attrname>][.<basic-style>]]=<regex>][peername[.<peernamestyle>]=<peername>][sockname[.<style>]=<sockname>][domain[.<domainstyle>[,<modifier>]]=<domain>][ssf=<n>][transport_ssf=<n>][tls_ssf=<n>][sasl_ssf=<n>]<style> ::= {exact|regex|expand}<selfstyle> ::= {level{<n>}}<dnstyle> ::= {{exact|base(object)}|regex|one(level)|sub(tree)|children|level{<n>}}<groupstyle> ::= {exact|expand}<peernamestyle> ::= {<style>|ip|path}<domainstyle> ::= {exact|regex|sub(tree)}<modifier> ::= ={expand}与ACL 的what 部分中一样，星号匹配一切内容。

要想获得更特定的功能，还有许多选项。

OpenLDAP 定义anonymous、users和self三种快捷方式。

这些快捷方法分别与未注册用户、已验证用户和当前登录用户匹配。

后面的self通常用于允许登录用户编辑自己的配置文件的组件。

这基于DN 的精确匹配；如果将用户的信息分割在不同的条目中，则self关键字仅适用于与用户绑定的条目。

有关self关键字的一个有趣的特性是：还可以使用level关键字将ACL 应用于用户条目的父条目或子条目。

使用self.level{1}匹配用户的条目和父条目，而self.level{-1}匹配用户的条目和任何直接附加的子条目。

继续讨论DN，可以分别使用dn.exact="DN"和dn.regex="regex"执行正则表达式或精确匹配。

稍后一个示例将显示如何使用正则表达式动态地将what 和who 捆绑到一起。

可以使用dnattr关键字保护任意条目，此关键字还需要属性名称。

如果请求者的DN 出现在目标的特定属性中，则与ACL 匹配。

例如，如果将dnattr=manager添加到您的ACL 中，然后将manager: cn=Joe Blow,ou=people,dc=ertw,dc=com添加到Fred Smith 的条目中，ACL 将在Joe Blow 访问Fred Smith 的条目时进行匹配。

group 关键字与 dnattr 类似，除了参数表示在树中其他地方定义的组，而非条目中的属性。

默认情况下，此组具有 groupOfNames 的 objectClass ，其成员在 member 属性中引用。

使用 peername 、 sockname 和 domain 关键字匹配客户机连接的属性。

peername 表示客户机的 IP 地址，例如 peernameip=127.0.0.1。

sockname 用于命名管道上的连接，并不常用。

domain 匹配与 IP 地址相关的主机名，它容易被假冒。

最后一组选项表示连接的 Security Strength Factor (SSF)，它是连接安全级别的 OpenLDAP 术语。

当涉及到用于连接 OpenLDAP 的安全机制时，比如 Transport Layer Security (TLS) 和 Simple Authentication and Security Layer (SASL)，这些选项将变得更加清楚。

前面所有的项可以一起使用。

例如，可以仅允许来自特定 IP 地址范围的特定管理员对具有特定加密级别的密码字段进行写访问。

也可以不这么严格，例如仅要求有效登录，或甚至接受每个人，而不考虑身份验证。

描述 access一旦已经确定谁在访问树，以及他们准备访问什么内容，就必须指定访问的级别。

清单 4 显示 ACL 的 access 部分的 BNF 表示法。