☰

ldap_group_search_base 未按预期工作

tag-icon • tag-icon ldap openldap ubuntu-20.04 sssd rhel8
ldap_group_search_base 未按预期工作

我使用了下面给出的 sssd.conf 文件来授权用户访问服务器。问题是一些未在DN：cn=a​​uthorized,ou=rona,ou=servers,ou=groups,dc=yolo,dc=com仍然可以访问。用户在此处创建ou=用户，dc=yolo，dc=com。此处列出的任何用户都可以访问前面提到的资源。

服务器 DN：ou=rona，ou=servers，ou=groups，dc=yolo，dc=com

配置

config_file_version = 2
services = nss, pam, autofs, sudo
domains = default

[nss]
homedir_substring = /home

[pam]

[domain/default]
id_provider = ldap
autofs_provider = ldap
auth_provider = ldap
chpass_provider = ldap
sudo_provider = ldap
ldap_uri = ldaps://ldap.yolo.com
ldap_chpass_uri = ldaps://ldap.yolo.com
ldap_search_base = dc=yolo,dc=com
ldap_user_search_base = ou=users,dc=yolo,dc=com
ldap_group_search_base = ou=rona,ou=servers,ou=groups,dc=yolo,dc=com
ldap_id_use_start_tls = False
ldap_tls_cacertdir = <path>/certs
cache_credentials = False
ldap_tls_reqcert = demand
entry_cache_timeout = 6
ldap_network_timeout = 3
ldap_connection_expire_timeout = 6
debug_level = 9
ldap_default_bind_dn = uid=yolobind,ou=bind,dc=yolo,dc=com
ldap_default_authtok_type = password
ldap_default_authtok = PASSWORD
ldap_schema = rfc2307
ldap_use_tls = true
enumerate =  true

[sudo]

答案1

您没有针对该组进行过滤，因此每个用户都被允许。

您可以添加如下过滤器：

ldap_access_filter = memberOf=cn=authorized,ou=rona,ou=servers,ou=groups,dc=yolo,dc=com

检查是否memberOf符合您的属性，也可能是uniqueMember。

相关内容