Какова наилучшая практика аутентификации LDAP?

Я хочу узнать о лучших методах аутентификации пользователей с помощью OpenLDAP. Я мог бы выполнить поиск, используя cn.

Но что, если я получил несколько совпадений с одинаковыми cn (конечно, под разными предками), и все они используют один и тот же пароль?

Я пытался использовать uids, но затем у меня появились некоторые типы учетных записей, которые не используют uid (например, почтовые учетные записи и админская учетная запись cn). Кроме того, когда я добавил некоторых пользователей под администратором cn (у которого нет uid), я не мог войти в систему с правами администратора cn.

Какой уникальный ключ идентифицирует пользователя?

Примечание. Я использую phpldapadmin для управления активным каталогом и openldap для кода C++.


person mkmostafa    schedule 21.10.2015    source источник
comment
На самом деле вы спрашиваете, как индивидуализировать пользователей. Адреса электронной почты, как и «экранные имена», обычно уникальны, если только вы не используете StackOverflow.   -  person user207421    schedule 21.10.2015
comment
ага но даже под админом сп нет адреса электронной почты и добавить его нельзя по крайней мере не из phpldapadmin. Я ищу общий способ уникальной идентификации пользователей (если он существует в ldap, я не знаю!).   -  person mkmostafa    schedule 21.10.2015
comment
LDAP не требует обязательного использования уникального и общего атрибута идентификатора для всех записей. Но обычно это администраторы. Вы можете искать либо uid, либо cn. Но если поиск возвращает более 1 записи, возникает неоднозначность, и вы не можете продолжить аутентификацию. В качестве альтернативы вы можете убедиться, что у администратора есть уникальный uid (он не обязательно должен быть частью DN).   -  person Ludovic Poitou    schedule 22.10.2015


Ответы (1)


Вы можете настроить сервер OpenLDAP для выполнения проверки уникальности вашего выбранный атрибут. CN — не самый благоприятный атрибут для уникальности. Я бы выбрал атрибут UID и установил политику для генерации имени пользователя.

person Zoran Regvart    schedule 23.10.2015
comment
Я пошел на это, по-видимому, это лучший доступный выбор. - person mkmostafa; 27.10.2015