AIX 5L LDAP 用户管理

目录服务器管理员的职责是维护没有冲突的帐户数据库。如果相同的帐户存在多个定义，分别位于不同的子树中，那么对于 AIX 5L 操作系统来说，只有第一个帐户是可见的。搜索操作仅返回第一个匹配的帐户。与之类似，将仅对第一个匹配的帐户执行修改或删除操作。

当使用 mksecldap 命令配置 LDAP 客户端时，将查找基本 DN 并将其保存到 /etc/security/ldap/ldap.cfg 文件。如果对于一个实体，LDAP 服务器中存在多个可用的基本 DN，那么 mksecldap 可随机使用任何一个。如果 AIX 5L LDAP 客户端要使用多个基本 DN，在成功地执行 mksecldap 对 AIX 5L LDAP 客户端进行配置之后，您需要手动编辑 /etc/security/ldap/ldap.cfg 文件。在文件中找到合适的基本 DN 定义，并添加所需的附加基本 DN。对于每个实体，AIX 5L LDAP 客户端最多支持 10 个基本 DN，任何附加的基本 DN 将会被忽略。

下面的示例显示了 /etc/security/ldap/ldap.cfg 中的两个用户基本 DN。
userbasedn: CN=Users,DC=ADdomain,DC=abc,DC=com
userbasedn: OU=sales,OU=DomainControllers,DC=ADdomain,DC=abc,DC=com

AIX 5L 客户端还为每个基本 DN 支持用户定义的筛选器和搜索范围。基本 DN 可以具有自己的筛选器和范围，并且可以与其同等的基本 DN 有所不同。筛选器可用于定义一组对 AIX 5L 操作系统可见的帐户。对 AIX 5L 操作系统来说，只有那些满足筛选器的帐户才是可见的。

接下来的部分将提供更多有关多个基本 DN 格式和筛选器格式的信息。

扩展的基本 DN 格式

在 TL5 更新级别和更新的版本中，AIX 5L 操作系统 V5.3 还支持使用扩展的基本 DN 格式将自定义的 filter 和 scope 字段与每个基本 DN 关联起来，字段之间使用“?”字符分隔。scope 和 filter 属性是可选的。在 AIX 5L 中，支持下列基本 DN 格式：
userbasedn:ou=people, cn=aixdata
userbasedn:ou=people, cn=aixdata?scope
userbasedn:ou=people, cn=aixdata??filter
userbasedn:ou=people, cn=aixdata?scope?filter

第一种格式代表了 secldapclntd 守护进程所使用的缺省格式。分别通过使用 scope 属性或 filter 属性，第二种和第三种格式允许对搜索进行限定。第四种格式允许同时使用范围和筛选器。

scope 属性接受下列取值：
sub
one
base

如果没有指定 scope 字段，其缺省值为 sub。

filter 属性允许进一步对 LDAP 服务器中定义的条目进行限定。您可以使用该筛选器仅使得那些具有某种特性的用户对系统来说是可见的。下面介绍了一些有效的筛选器格式，其中 attribute 是一个 LDAP 属性的名称，而 value 指定了搜索条件。value 可以为通配符“*”。
(attribute=value)
(&(attribute=value)(attribute=value))
(|(attribute=value)(attribute=value))

附录 A. Service for UNIX 3.0 和 3.5 模式映射

下面是面向运行于安装了 Microsoft Service for UNIX Version 3.0 或 3.5 的 Windows 2000 和 2003 服务器上的 Active Directory 的用户和组属性映射文件。AIX 5L V5.3 TL5 更新中附带了该映射文件。

表 2. /etc/security/ldap/sfu30user.mapusername SEC_CHAR msSFU30Name s
id  SEC_INT msSFU30UidNumber  s
pgrp  SEC_CHAR  msSFU30GidNumber  s
home  SEC_CHAR  msSFU30HomeDirectory s
shell  SEC_CHAR msSFU30LoginShell s
gecos  SEC_CHAR msSFU30Gecos  s
spassword  SEC_CHAR msSFU30Password  s
lastupdate SEC_INT msSFU30ShadowLastChange  s
maxage SEC_INT msSFU30ShadowMax  s
minage  SEC_INT msSFU30ShadowMin  s
maxexpired SEC_INT msSFU30ShadowExpire  s
pwdwarntime  SEC_INT msSFU30ShadowWarning  s