ssl - Microsoft Active Directory 使用 Centos 进行身份验证

Question

我无法理解如何在无需显式输入管理员凭据的情况下对用户进行身份验证。

我已经使用 LDAP over SSL 成功设置了安全连接，我可以通过在终端中输入来检索用户配置文件:

ldapsearch -x -D cn=administrator,cn=users,dc=domain,dc=local -H ldaps://dc.domain.local -W 'sAMAccountName=smithd'

这会提示我输入管理员密码并提取请求的用户信息。

如何在不显式输入管理员凭据的情况下对用户进行身份验证？

我应该使用 Winbind 吗？桑巴？

Answer 1

通常使用 LDAP，您不以管理员的身份登录(“绑定(bind)”)，而是以用户的身份登录。

尝试 ldapsearch -x -D cn=your-user,cn=users,dc=domain,dc=local -H ldaps://dc.domain.local -W 'sAMAccountName=smithd'如果搜索成功，则您的用户已通过身份验证。在 AD 中，用户的 CN 值可能不会立即显而易见，并且通常不等于 sAMAccountName (grrr)。尝试使用 LDAP 搜索为您的用户查找 CN 值:

ldapsearch -x -D cn=administrator,cn=users,dc=domain,dc=local -H ldaps://dc.domain.local -W 'objectclass=inetorgperson' cn

这将为您提供用户列表及其CN 值。现在您可以尝试使用 cn=<user cn>,cn=users,dc=domain,dc=local 中的 CN 值与其中一个用户绑定(bind).

另外，Centos可以使用pam_ldap根据 LDAP 目录(也称为 AD)对用户进行身份验证。您可以在此处找到更多信息:http://www.padl.com/OSS/pam_ldap.html

对于 pam_ldap设置，您可能需要一个代理用户，其帐户名和密码在配置文件中，但这通常不必是管理用户。 pam_ldap 将使用此用户定位尝试登录的实际用户，然后与该实际用户执行绑定(bind)。

请注意，许多 LDAP 领域的人会自动假定您了解所有基础知识，因此学习曲线可能很陡峭。