主页 / server / 问题 / 73564
Accepted
Tim Büthe
Asked: 2009-10-12 23:48:37 +0800 CST

如何允许组更改用户密码？

  • 772

我有以下 openldap 服务器配置：

access to attrs=userPassword
    by self write
    by anonymous auth
    by set="[cn=users,ou=Group,dc=my-company,dc=de]/memberUid & user/uid" write
    by * none

# Allow everybody adding and changing Contacts
access to dn.subtree="ou=Contacts,dc=my-company,dc=de"
    by set="[cn=users,ou=Group,dc=my-company,dc=de]/memberUid & user/uid" write 
    by * read

access to *
    by self write
    by dn.base="cn=admin,dc=my-company,dc=de" write
    by set="[cn=sysadm,ou=Group,dc=my-company,dc=de]/memberUid & user/uid" write
    by * read

它应该做的是：

  1. 允许每个人更改自己的密码
  2. 允许所有用户添加和更改联系人
  3. 允许“sysadm”组中的所有人更改所有内容

问题是，sysadms 不能更改任何用户密码。有什么提示吗？

ldap

3 个回答

  1. Best Answer

    引用OpenLDAP 管理员指南：

    访问指令的评估顺序使得它们在配置文件中的位置很重要。如果一个访问指令在它选择的条目方面比另一个更具体，它应该首先出现在配置文件中。同样，如果一个选择器比另一个选择器更具体，它应该在访问指令中排在第一位。

    长话短说，请尝试以下操作：

    access to attrs=userPassword
    by dn.base="cn=admin,dc=my-company,dc=de" write
    by set="[cn=sysadm,ou=Group,dc=my-company,dc=de]/memberUid & user/uid" write
    by self write
    by anonymous auth
    by * none

# Allow everybody adding and changing Contacts
access to dn.subtree="ou=Contacts,dc=my-company,dc=de"
    by dn.base="cn=admin,dc=my-company,dc=de" write
    by set="[cn=sysadm,ou=Group,dc=my-company,dc=de]/memberUid & user/uid" write
    by set="[cn=users,ou=Group,dc=my-company,dc=de]/memberUid & user/uid" write 
    by * read

access to *
    by dn.base="cn=admin,dc=my-company,dc=de" write
    by set="[cn=sysadm,ou=Group,dc=my-company,dc=de]/memberUid & user/uid" write
    by self write
    by * read

    顺便说一句，您真的要授予所有用户访问他们自己对象的所有属性的权限（'通过自写'访问 * ...）吗？由于您仅在第一个 ACL 中限制对 userPassword 属性的写入访问，我想说这不是您想要的。

    • 2

  2. 如果你这样做会发生什么？

    access to dn.subtree"[cn=users,ou=Group,dc=my-company,dc=de]"
by self write
by dn.base="cn=admin,dc=my-company,dc=de" write
by set="[cn=sysadm,ou=Group,dc=my-company,dc=de]/memberUid & user/uid" write
by * read
    • 0

  3. IIRC slapd 使用第一个匹配规则。由于第一个块匹配 userPassword 但不允许系统管理员修改，因此不允许他们修改。

    • 0

相关问题