AIX 5L LDAP 用户管理

IBM Tivoli Directory Server

建议您使用 IBM Tivoli Directory Server 进行 AIX 5L LDAP 用户或组管理。IBM Tivoli Directory Server 具有符合 RFC 2307 的内置模式支持，并且提供了扩展的 AIX 5L 用户和组属性。IBM Tivoli Directory Server 提供了三种类型的与用户或组相关的模式：AIX、rfc2307 和 rfc2307aix。

模式类型 rfc2307aix 完全符合 RFCS 2307 规范，所以可以对其他的操作系统（如 Linux）进行配置以使用该信息。这种模式还提供了 AIX 5L 特定的扩展信息，如附加的用户控制、统计策略等等。建议将 rfc2307aix 模式类型用于用户和组对象。

不鼓励使用 AIX 模式类型，除非您希望服务器支持 AIX 5L 操作系统 V5.1 和更早版本的系统。AIX 5L 之外的操作系统可能无法使用 AIX 模式类型的 IBM Tivoli Directory Server 进行用户管理。

非 IBM 目录服务器

可以对 AIX 5L 服务器进行配置以使用非 IBM LDAP 服务器，但具有一定的限制。AIX 5L 操作系统支持符合 RFC 2307 的 LDAP 服务器的配置。其配置的复杂性和支持的级别有所差别，并且在下面的部分中进行了详细的描述。
符合 RFC 2307 的目录服务器
可以对 AIX 5L LDAP 客户端进行配置以使用非 IBM LDAP 服务器进行用户或组管理。如果目录服务器支持符合 RFC 2307 模式的用户或组信息，那么这样做是可行的。这些服务器还需要支持 LDAP Version 3 协议。

AIX 5L 客户端对这类服务器的操作不支持用户或组管理的完整功能。因为这些服务器通常不支持 AIX 5L 特定的用户或组属性，所以 AIX 5L 操作系统中一些很好的用户控制功能将无法使用。。
不符合 RFC 2307 的目录服务器
AIX 5L 操作系统不支持不符合 RFC 2307 的目录服务器。然而，如果这类服务器包含所需的属性组，AIX 5L 操作系统可以按照 RFC 2307 中指定的那样与它们一起工作（假设该信息以不兼容的方式存储）。在这些情况下，管理员必须通过在 AIX 5L 客户端创建映射文件，将目录中的自定义信息映射为 RFC 2307 相关的信息。AIX 5L 操作系统提供的模式映射机制正是为了解决这个问题。

有关模式文件格式和模式文件使用的更详细信息，请参见 AIX 5L 安全指南中的“LDAP Attribute Mapping File Format”（参考资料）。

Microsoft Active Directory

可以对 AIX 5L LDAP 客户端进行配置以使用 Active Directory 服务。对于不同的 Microsoft? Windows? 发行版，基于 Active Directory 的用户和组信息也不相同。正因为这样，所以管理员应该完整地阅读本部分内容，并在 AIX 5L LDAP 客户端上建立所需的配置。

在 Windows 2000 和 Windows 2003 发行版中，Active Directory 可以通过 Windows Service For UNIX 包将用户和组信息映射为 UNIX 模式类型。要使得 AIX 5L 客户端能够通过基于 Active Directory 的信息进行身份验证，客户必须在基于 Active Directory 服务的系统中安装“Windows Services for UNIX”，然后配置 AIX 5L 客户端。稍后将提供有关这一配置的更详细信息。

AIX 5L 操作系统支持运行于 Windows 2000 和 2003 之上的安装了 Services for UNIX 模式版本 3.0 和 3.5 的 Active Directory 服务。

对于基于 Windows 2003 R2 的 Active Directory，不需要附加的 Windows Services for UNIX (SFU) 层。Windows 2003 R2 UNIX 支持模式与 Services for UNIX 3.0 和 3.5 中定义的模式不同。AIX 5L 操作系统需要 APAR IY91514 以支持 Windows 2003 R2 模式的 Active Directory。要检查是否安装了这个 APAR，可以运行下面的命令： # instfix -ik APAR IY91514

由于 AIX 5L 操作系统和 Windows 系统在用户和组管理上存在差别，所以当使用 Active Directory 作为中央 LDAP 服务器时，并非所有的 AIX 5L 命令都能够正常使用。无法使用的命令包括 mkuser 和 mkgroup。其他大多数用户和组管理命令可以正常使用，这取决于对 AIX 5L 操作系统绑定到 Active Directory 的标识所赋予的访问权限。这些命令包括：