OpenLDAP：用ACL控制访问权限

用ACL控制授权

我们在LDAP中创建目录树后,最感兴趣的就是如何控制用户在目录树中的权限(读写)。谁在什么条件下有记录权限，我们有权限看到哪些信息。ACL（Access Control List）访问控制列表就是解决用户权限问题的。

我们要把ACL写在哪里？

ACL写在OpenLDAP的服务端全局配置文件slapd.conf中，如下这段即为其指令：

也可以写在一个单独的文件中，如access.conf，然后在全局配置文件slapd.conf中 调用，在配置文件中引入这个文件即可，如下：

include后面的路径为该文件的放置地址。

ACL语法基础

怎么看懂ACL指令？

首先看下ACL访问指令的格式：

指令中包含1个to语句，多个by语句。

这个指令的大体意思是，通过access to约束我们访问的范围（resources），

通过by设定哪个用户（who）获取对这个约束范围有什么权限（type of access granted）,

并控制（control）这个by语句完成后是否继续执行下一个by语句或者下一个ACL指令。

如果对ACL指令很熟悉的话，可以不必继续往下看，因为以下为详细的指令基础介绍。

现在对ACL指令分解成两大部分进行详细说明，一个是access to指令， 一个是 by指令。

先看看access to吧。 以上内容意思是， dn.base: 约束这个特定DN的访问。他和dn.exact和dn.baselevel是相同的意思。 dn.one: 约束这个特定的DN第一级子树的访问。dn.onelevel是同义词。 dn.children: 这个和dn.subtree类似,都是对其以下的子树访问权的约束。不同点在于， 这个的约束是不包含自己本身DN。而subtree包含了本身的DN。

规则 dn.base=”ou=users,dc=mydomain,dc=org” 只会匹配记录2 规则 dn.one=”ou=users,dc=mydomain,dc=org” 匹配记录3和记录5，记录4是记录3的子目录，故不算在内 规则 dn.subtree=”ou=users,dc=mydomain,dc=org” 匹配记录2、3、4、5 规则 dn.children=”ou=users,dc=mydomain,dc=org” 匹配记录3、4、5,因为记录0、1和2都是以DN直接命名的，故不匹配

指定被授权的用户范围的方法大致有以下几种：

例如： by dn.subtree=“ou=users,dc=domain,dc=org”="^samba*"

被授予的权限access 当选取好ACL作用的目标记录并选取好用户范围后，就该给这些用户授予他们应该得到的权限了。大致的权限(由低到高)有以下几类： none 无权限，即拒绝访问 auth 访问bind（认证）设置的权限；前提是需要用户提交一个DN形式的用户名并能通过认证 compare 比较属性的权限；（例如：对照查看某用户的telephoneNumber值是不是158 8888 8888）,但并不具有搜索的权限 search 利用过虑条件进行搜索的权限,但这并不一定具有可读取搜索结果的权限 read 读取搜索结果的权限 write 更改记录属性值的权限

可以在slapd.conf文件中通过defaultaccess指定默认的权限级别,如： defaultaccess search

2.4 采取什么样的匹配控制动作control 在进行记录的匹配时，如果有多条规则存在，那么在第一次匹配产生后是否还进行后续的匹配或采取其它的动作将取决于此项的设置；控制方式共有以下三种：

stop 这个是默认值，这表示在一次匹配产生后将不再进行下一个匹配，所有后续的匹配将会停止。 continue 无论匹配是否已经发生，继续进行直到所有的规则全部进行完匹配检查 break 一个匹配发生后，跳出当前的子句进行后一个子句的检查 对于dn的约束条件还可以利用模糊约束，如下： access to dn.regex=“uid=[^,]+,ou=Users,dc=example,dc=com” by * none dn.regex是用来做匹配（match）用的。

对于DN的约束大多用在对某个层级的约束，而用attrs的话，就可以跨层级（或者说跨越父类树），通过属性来约束访问的范围。

access to attrs=homePhone

by * none

这个例子意思是，任何人都没有权限访问属性为homePhone的信息。

在attrs后面的值可以多个，如

access to attrs=homePhone,homePostalAddress

如果想约束某个对象类(Object class)的所有属性，我们或许可以有这样的形式：

access to attrs=givenName val.regex=“M.*”

最后给个一般情况下用到的利用属性约束的例子：

access to attrs=member val.children=“ou=Users,dc=example,dc=com”

Filters提供一种支持条目记录匹配的方法，如下：

access to filter="(objectClass=simpleSecurityObject)"

这表示我们可以约束所有记录中包含对象类为simpleSecurityObject的信息。

与编程语言类似, ACL指令也有类似与或的条件判断,如下:

access to

这段代码过滤出givenName为Matt或者Barbara，或者surname为Kant的信息。

Access to [resources]

resources可以有多种形式，如DN，attrs, Filters.

以下即详细说明。

如下所示，

access to dn=“uid=matt,ou=Users,dc=example,dc=com” by * none 这个指令是指访问uid=matt,ou=Users,dc=example,dc=com这个DN，即把访问的

范围约束在这个DN中。

#######################################################################