ldap - LDAP 中的 memberOf 与 groupMembership (Liferay)

Question

在 Liferay 的 LDAP 身份验证设置中使用时，b/n memberOf 属性和 groupMembership 属性有什么区别？

用户导入成功。
组也已成功导入。

但是用户不会自动分配到组中。当我将组变量从“groupMembership”更改为“memberOf”时，一些用户无法登录 Liferay。

memberOf 和 groupMembership 变量究竟是什么？

Answer 1

memberOf不是“变量”，它是一个属性，或者更准确地说，它是一个虚拟属性，或者是某些目录服务器动态生成的属性，但不是全部。有些人使用 memberOf要在搜索过滤器或搜索请求的属性列表中使用，有些使用 isMemberOf出于同样的目的，有些人要么支持要么不支持，而且可能还有其他我不知道的习语。

一般来说，要确定组成员身份，请向目录服务器发出搜索请求并指定 memberOf或 isMemberOf在属性列表中返回。这是一个使用现代 ldapsearch 的示例命令行工具:

ldapsearch --port 1389 --baseDn 'ou=people,dc=example,dc=com' \
     --sizeLimit 3 --searchScope one --bindDn 'cn=directory manager' \
     --bindPasswordFile ~/.pwdFile '(uid=user.0)' isMemberOf
dn: uid=user.0,ou=people,dc=example,dc=com
isMemberOf: cn=Dynamic Home Directories,ou=groups,dc=example,dc=com
isMemberOf: cn=bellevue,ou=groups,dc=example,dc=com
isMemberOf: cn=shadow entries,ou=groups,dc=example,dc=com
isMemberOf: cn=persons,ou=groups,dc=example,dc=com

此搜索响应表明 user.0是所列组的成员。

要反转查询的含义，即确定哪些条目是组的成员，请使用 isMemberOf或 memberOf在搜索请求中使用的过滤器中有一个断言:

ldapsearch --port 1389 --baseDn 'ou=people,dc=example,dc=com' \
   --sizeLimit 3 --searchScope one --bindDn 'cn=directory manager' \
   --bindPasswordFile ~/.pwdFile \
  '(isMemberOf=cn=persons,ou=groups,dc=example,dc=com)' 1.1
dn: uid=terrygardner,ou=people,dc=example,dc=com

dn: uid=user.0,ou=people,dc=example,dc=com

dn: uid=user.1,ou=People,dc=example,dc=com

dn: uid=user.10,ou=People,dc=example,dc=com

此搜索响应表明该组中有多个成员的可分辨名称为 cn=persons,ou=groups,dc=example,dc=com。 .

虽然不是特定于 LifeRay ，以上是从 LDAP 角度处理组成员身份和反向组成员身份的一种方法的一般解释。