使用OpenLDAP代理多台AD进行信息查询

gavinzhm

谢谢楼主分享~~
最近也正在看LDAP的PROXY功能~
楼主的database用的META
不知道跟LDAP的有什么差别~~~？

因为我这边有两台openLDAP服务器~~
一台是用BDB做的后台数据库~~
另外一台用的SHELL~~
现在想通过一代PROXY代理服务器把两台服务器统一到一起不知道可行吗~？

下面两段有些没看明白~~~
第一行的schem是自己定的义吗~？还是跟据AD自己定的schema

第二部分查询的时候openldap接收到“title=user10@a.corp.com”的搜索字段后
在OPENLDAP中查询时改成userPrincipalName吗？
最后(.?)  (.+)$   %1 %2 这四个能给再解释一下吗~？
先谢过~

1. 
   
2. include         /usr/local/ldapproxy/etc/openldap/schema/collective.schema
   
3. 
   
4. #由于LDAP不能识别userPrincipalName这个属性名，需要进行searchFilter重写将查询是输入的title=user10@a.corp.com改写成
   
5. #userPrincipalName=user10@a.corp.com
   
6. rewriteContext searchFilter
   
7. rewriteRule "(.?)title=(.+)$" "%1userPrincipalName=%2" ":"
   

复制代码

[ 本帖最后由 gavinzhm 于 2008-8-9 20:52 编辑 ]

cdkeyleo

database ldap只能代理一台ldap服务器。
database meta相当于是个增强版本，可以代理多台ldap服务器。

可以用一台PROXY代理服务器把两台服务器统一到一起，但是我这个方案只是实现了用户信息查询，用于提供授权信息给其他系统。用户验证的话，不确定我这个方案是否适用，因为在配置中可以看到使用了用户名/密码连接后台的LDAP服务器。你可以做实验测试一下



其实schema中只需要core.schema就可以了，我配置的其他几个schema都没有用到。这里不需要使用ad的schema

rewriteContext 和rewriteRule这两行是指 在发起搜索的时候，把title=xxx改成uerPrincipalName=xxx，因为我使用的后台是AD域服务器，需要这个转化。

rewriteRule "(.?)title=(.+)$" "%1userPrincipalName=%2" ":"
使用的是正则表达式，你可以在网上查询一下说明，因为我不懂正则表达式，是别人帮我写的。

gavinzhm

原帖由 cdkeyleo 于 2008-8-10 21:30 发表
database ldap只能代理一台ldap服务器。
database meta相当于是个增强版本，可以代理多台ldap服务器。

可以用一台PROXY代理服务器把两台服务器统一到一起，但是我这个方案只是实现了用户信息查询，用于提供 ...

谢谢楼主耐心回答~~
呵呵~介绍LDAP其他应用的文章比较少~~
楼主有没有介绍openldap的网站推荐~~？

cdkeyleo

主要还是看手册
man slapd.conf
man slapd.backends
man slapd-ldap
man slapd-meta
....

在google也搜不到太多这方面信息

foxzenith

谢谢楼主啦,请问楼主能否给个sldap-ldap连单台AD的实例?我用的系统自带的openldap,没带meta.so动态模块.想直接用ldap来代理.
另,openldap2.4.11的stable版出来了,地址:
ftp://ftp.dti.ad.jp/pub/net/Open ... stable-20080813.tgz
http://www.openldap.org/software/download/
再谢

foxzenith

我重新安装了openldap,完全按照楼主的方法设定,现在在一台win电脑下能用softerra LDAP Browser 2.6浏览到代理的AD一些信息(有一些操作错误的提示),
然后我在dotpoject和mantis软件里指定LDAP的认证服务器为openldap的地址和DN,但仍无法从AD验证正确的用户和密码,楼主能指点下么,谢谢了.我的邮箱foxzenith@gmail.com

rudolfyan

我也正在做OpenLDAP代理公司的主AD。原因是因为，在OpenLDAP上我要对原来的用户重新分组，以便其他应用使用，而主AD上一般不分组，分组也没我自己的应用这么细。

原来使用ADAM代理 主AD，异常复杂，但成功了。

现在准备看看OpenLDAP是否比较简单，望高手赐教。