OpenLDAP：ACL：允许用户管理自己的组

Question

我需要你对LDAP结构和相关ACL的建议。

我们的LDAP将管理10个（数量可能不同）组织，其中包含用户（总共250个用户），我希望每个组织允许1个用户管理他自己组织的所有用户。用户也将附加到自定义组。

dn: cn=Manager,ou=Roles,ou=Groups
objectClass: posixGroup
objectClass: top
cn: Manager
gidNumber: 10100
memberUid: user1
memberUid: user3

dn: cn=Structure1,ou=Structures,ou=Groups
objectClass: posixGroup
cn: Structure1
gidNumber: 10000
description: Structure1
memberUid: user1
memberUid: user2

dn: cn=Structure2,ou=Structures,ou=Groups
objectClass: posixGroup
cn: Structure2
gidNumber: 10001
description: Structure2
memberUid: user3
memberUid: user4

{1}to dn.children="ou=Users" by set="[cn=]+this/groups+[,ou=Structures,ou=Groups]/memberUid & user/uid" write by * read

我已经读过：

• http://www.openldap.org/doc/admin24/access-control.html
• http://www.openldap.org/faq/data/cache/1133.html
• http://www.openldap.org/faq/data/cache/1134.html

Answer 1

我的贡献是解决这种情况的一个选择。我知道已经有一段时间了，但我希望这对外面的人有所帮助。-更改为groupofnames或organizationalrole（最后一个支持空组）都需要dn作为成员。-启用memberof覆盖，以启用用户的memberof操作属性（这将把用户所属的组列表添加到用户条目中的一个属性中）olcmemberOfgroupoc：organizationalRole olcmemberOfmemberAd：rolecospant olcmemberOfmemberOfad：groups（“groups”是添加到用户的操作属性）

• 一旦执行了这两个操作，并且您确定用户在groups操作属性上有值，根据最初的问题，这里有两个场景：
  • 第一个场景-user1允许写入user3,ou=users,因为它们属于cn=manager,ou=roles,ou=groups
  • 第二个场景-user1允许写入user2，ou=users，因为它们属于cn=structure1，ou=structure1，ou=groups

  此acl允许写，每当两个用户（修改者和修改者）具有相同的组时，acl将设置写权限。

  >

• user=user1,ou=users

  “user/groups”获取修饰符groups属性的值。cn=manager,ou=roles,ou=groups-cn=structure1,ou=structures,ou=groups。

  this=user3,ou=users

  最好的问候！！