LDAP 为用户分配角色的最佳方式

Question

他们是否有设置用户角色和权限的标准方法。

选项 1:创建组并在其中分配成员。

我的人员 dn 如下。

  DN: uid=55e44a75e4b0f16711714165,ou=people,dc=cofinding,dc=com 

我为角色创建了群组。并在其中分配成员

DN: cn=ADMIN,ou=roles,dc=cofinding,dc=com  

并在此处添加了具有 ADMIN 角色的成员。添加了近 5 万名 ADMIn 角色成员。

选项 2:在人员中添加自定义值(value)角色。我将 dn 创建为 user_role

DN: uid=55e44a75e4b0f16711714165,ou=people,dc=cofinding,dc=com

在人员中我们可以添加 user_role=ADMIN,MASTER_ADMIN

他们还有其他选择或标准做法吗？因为角色在任何身份验证过程中都非常重要。

Answer 1

首先:角色与身份验证无关，它们用于授权流程。在身份验证时，系统会根据一组凭据来验证用户是谁；一旦建立，就会在授权过程中咨询角色，以确定是否应授予用户访问某些特定资源的权限。

回答您关于角色的问题:两种方式都可以。第一种方法可能是最常见的方法(并且最符合 LDAP 中事物通常的结构方式。请查看用于表示您的角色的 groupOfNames 和 groupOfUniqueNames 对象类)。根据用例，我认为后者在许多情况下可能更实用，但您需要考虑到它并不完全是标准的“LDAP 方式”。