openldap中的access control问题

flod

我在slapd.conf中增加一下几句话

1. 
   
2. access to * by * read
   
3. access to dn="cn=flod,ou=People,dc=example,dc=com"
   
4.         by users write
   

复制代码

cn=flod,ou=People,dc=example,dc=com这个entry存在。

1. 
   
2. # flod, People, example, com
   
3. dn: cn=flod,ou=People,dc=example,dc=com
   
4. cn: flod
   
5. labeledURI: http://www.google.com google
   
6. objectClass: inetOrgPerson
   
7. objectClass: organizationalPerson
   
8. objectClass: person
   
9. objectClass: top
   
10. sn: wang
    

复制代码

但是我没法修改
他里面的属性。改成
access to dn="cn=flod,ou=People,dc=example,dc=com"
        by * write
也不行，都报没权限。
其他地方也没有access control的代码。帮忙看看原因吧。

py

ACL是有优先级的，写成这样子就可以了
access to dn="cn=flod,ou=People,dc=example,dc=com"
        by users write
access to * by * read

flod

呵呵，我也刚刚摸索出来，好像是按照顺序来进行决定access control。
比如：

1. 
   
2. access to *
   
3.         by self write
   
4.         by users read
   
5.         by dn="cn=flod,dc=example,dc=com" none
   
6.         by anonymous auth
   

复制代码

acl检查到users read的时候有读取权限就不再检查后继规则，也就是
cn=flod,dc=example,dc=com none没起到作用。

1. 
   
2. access to *
   
3.         by self write
   
4.         by dn="cn=flod,dc=example,dc=com" none
   
5.         by users read
   
6.         by anonymous auth
   

复制代码

这个就恰恰相反。