AIX 5L LDAP 用户管理

使用 Active Directory 组属性进行组管理
与密码问题类似，Microsoft Services for UNIX 定义了与多个组成员相关的属性：
memberUid
msSFU30MemberUid
msSFU30PosixMember

memberUid 和 msSFU30MemeberUid 属性接受用户帐户名，而 msSFU30PosixMember 仅接受完整的 DN。例如，对于用户帐户 foo（其名字为 bar），它在 Active Directory 中的定义如下：
memberUid:foo
msSFU30MemberUid:foo
msSFU30PosixMember:cn=foo bar,cn=users,dc=ADdomain,dc=abc,dc=com

可以对 AIX 5L LDAP 客户端进行配置，以使用这些属性。您可以与 Active Directory 管理员讨论，以确定使用哪些属性。建议使用 memberUid 或 msSFU30MemberUid 代替 msSFU30PosixMember，因为前者将节省存储空间和网络流量，并具有更好的性能。在缺省情况下，mksecldap 对 AIX 5L LDAP 客户端进行配置以便对运行于 Windows 2000 和 2003 的 Active Directory 使用 msSFU30PosixMember 属性，对运行于 Windows 2003 R2 的 Active Directory 使用 memberUid 属性。这种选择是因为 Active Directory 的行为，当在 Windows 中将用户添加到组中时，它会选择相应的属性。您的组织策略可能需要使用非缺省的组成员属性以支持多种平台。

与密码中的情况一样，AIX 5L 管理员可以对 LDAP 客户端进行配置，以使用不同的组成员属性。通过手动编辑组映射文件，您可以更改映射。对于运行于 Windows 2000 和 2003 的 Active Directory，组映射文件为 /etc/security/ldap/sfu30group.map；对于运行于 Windows 2003 R2 的 Active Directory，组映射文件为 /etc/security/ldap/sfur2group.map。查找以单词“users”开头的行，并使用组成员所需的属性名称替换其中的第三个字段。有关更详细的信息，请参见 AIX 5L 安全指南中的“LDAP Attribute Mapping File Format”。

在完成更改后，执行 mksecldap 命令对 AIX 5L LDAP 客户端进行配置。如果已经配置了 AIX 5L 客户端，可以运行 restart-secldapclntd 命令以重新启动 secldapclntd 守护进程使得更改生效。

多个组织单元
Active Directory 支持分布于不同子树的用户信息。大多数 Active Directory 用户定义于 cn=users,... 子树，但有一些可能定义在其他位置。Active Directory 服务器还可以定义多个组织单元，其中每一个组织单元包含一组用户。AIX 5L 操作系统的多个基本 DN 的支持特性可用于针对这种 Active Directory 服务器进行配置。有关该特性更详细的信息，请继续阅读接下来的部分。

支持多个基本 DN

在 AIX 5L TL5 更新之前，LDAP 用户管理仅支持一个基本 DN。例如，您可以在 /etc/security/ldap/ldap.cfg 文件中仅指定一个用户基本 DN。在存在多个子树的情况下，userbasedn 属性必须指向 AIX 5L 操作系统中所有可见用户的子树的公共父节点。这需要所有的子树都位于相同的后缀中，因为后缀之间不存在公共父节点。

AIX 5L Version 5.3 TL 5 更新实现支持多个基本 DN。在 /etc/security/ldap/ldap.cfg 文件中，可以为每个实体最多指定 10 个基本 DN。根据其在 /etc/security/ldap/ldap.cfg 文件中出现的顺序确定这些基本 DN 的优先级。根据这些基本 DN 的优先级执行 AIX 5L 命令的操作。
将根据其优先级对基本 DN 执行查询操作，如 lsuser 命令，直到找到了匹配的帐户。

如果搜索了所有的基本 DN 而没有找到匹配项，将返回一个错误。如果查询所有的基本 DN，那么将返回每个基本 DN 的所有帐户。
将仅对第一个匹配的帐户执行修改操作，如 chuser 命令。

将仅对第一个匹配的帐户执行删除操作，如 rmuser 命令。

将仅对第一个基本 DN 执行创建操作，如 mkuser 命令。AIX 5L 操作系统不支持为其他基本 DN 创建帐户。

AIX 5L LDAP 客户端不支持在 Active Directory 中创建用户和组。