Apache 多个 LDAP 组

Question

我正在配置 Apache 以针对 LDAP 进行身份验证，并要求存在多个组。我已经使用 require 语句完成了此操作，但是，如果所有组都存在，而不仅仅是一个，我需要身份验证成功。我如何告诉 Apache 完成所有 require 语句？

Answer 1

您可以尝试“满足“apache 指令，例如：满足所有要求。

否则，您可以修改过滤器以要求分组，例如(&(ou=foo)(ou=bar))

Answer 2

“满足“在这里不起作用，因为它只控制“allow”和“require”之间的交互，而不是多个“require”指令之间的交互。

如果您的 LDAP 具有 memberOf 属性（您可以使用覆盖成员在 OpenLDAP 中，可以使用“require ldap-filter”来要求加入多个组。

不幸的是，从 OpenLDAP 2.4.31 开始，memberOf 无法可靠地复制，因此如果您也使用 syncrepl，请不要依赖它。

Answer 3

如果您使用的是支持嵌套组的 ldap 服务，则可以创建另一个包含所需组的组，然后让 apache 引用该组。然后，在更新任何原始组时，嵌套组都会自动更新。

然而这对您来说可能不是一个选择。