AIX 5L LDAP 用户管理

对 AIX 5L 客户端进行配置以使用 Windows 服务器

对于 Windows 服务器，AIX 5L 操作系统支持两种用户身份验证机制：LDAP 身份验证和 Kerberos 身份验证。使用其中任何一种机制时，AIX 5L 操作系统支持针对 Active Directory 通过 LDAP 协议进行用户标识，而不需要在 AIX 5L 操作系统中存在对应的用户帐户。

在配置 AIX 5L 操作系统之前，必须在 Windows 服务器端完成下列操作步骤：
Active Directory 必须安装了 UNIX 支持模式。
Active Directory 必须包含支持 UNIX 的用户。
对于 Kerberos 身份验证，必须在 Windows 服务器上创建主机主体。

有关在 Active Directory 中安装这些模式，并为 Active Directory 用户提供 UNIX 支持，请参考相关的 Microsoft 文档。

对于 LDAP 身份验证，管理员可以使用 mksecldap 命令将 AIX 5L LDAP 客户端配置为使用 Active Directory 服务器，在使用 IBM Tivoli Directory Server 时也要进行这样的配置。mksecldap 命令查询服务器，发现远程服务器是基于 Active Directory 的，然后对 AIX 5L 操作系统进行相应的配置。

对于 Kerberos 身份验证，除了 LDAP 之外还必须配置 Kerberos。

下面的部分详细描述了使用 Windows 服务器进行 LDAP 身份验证和 Kerberos 身份验证的配置步骤。

配置 AIX 5L 以使用 unix_auth 模式与 Active Directory 协同工作 # mksecldap -c -h <Active Directory hostname> -a
<cn=binduser,cn=users,dc=ADdomain,dc=abc,dc=com> -p <password>

其中：
Active Directory hostname 是您的 Windows Active Directory 服务器。
cn=binduser,cn=users,dc=ADdomain,dc=abc,dc=com 是一个示例绑定凭据。它可以是 Active Directory 中定义的一个用户帐户。要成功地进行身份验证，该用户必须拥有对 Active Directory 用户的 UNIX 密码的读权限，要让用户更改他们的密码，还必须拥有对 Active Directory 用户的 UNIX 密码的写权限。
密码 指的是上面的 binduser 帐户的密码。

这将对 AIX 5L 操作系统进行配置以使用所指定的 Active Directory 服务器。身份验证模式将设置为 unix_auth。secldapclntd 守护进程将使用 cn=binduser,cn=users,dc=ADdomain,dc=abc,dc=comcn 标识绑定到 Active Directory。您可以使用 Active Directory 中定义的另一个有效的用户来替换 cn=binduser,cn=users,dc=ADdomain,dc=abc,dc=comcn。这个 Windows 用户帐户应该仅由 UNIX 客户端系统使用，以绑定到 Active Directory 服务器。

在 mksecldap 命令成功返回之后，检查 /etc/security/ldap/ldap.cfg 文件以确保 userbasedn 和 groupbasedn 指向所需的基本专有名称 (DN)。在缺省情况下，mksecldap 保存从 Active Directory 中找到的具有有效用户和组的第一个基本 DN，并且将这个基本 DN 保存到 /etc/security/ldap/ldap.cfg 文件。

例如，如果您的大部分用户和组位于 cn=users 容器中，并且 userbasedn 和 groupbasedn 指向其他地方，那么可以手动更正 userbasedn 和 groupbasedn。在将该更改保存到 /etc/security/ldap/ldap.cfg 文件之后，重新启动 secldapclntd 守护进程以使得该更改生效，如下所示。# restart-secldapclntd

AIX 5L 操作系统还支持多个基本 DN。支持多个基本 DN 部分中提供了更详细的信息。

要验证是否正确配置了 AIX 5L LDAP 客户端，可以运行 lsuser 命令以列出 Active Directory 中定义的用户：# lsuser –R LDAP <username>

，其中 username 应该是 Active Directory 中定义的有效用户。

要允许 Windows 用户登录到 AIX 5L 操作系统，管理员需要通过在 AIX 5L 操作系统中运行下列命令，对用户的 SYSTEM 和 registry 属性进行正确设置： # chuser -R LDAP SYSTEM=LDAP registry=LDAP foo