ubuntu - 如何使用 OpenLDAP 启用 SASL 身份验证 - 缺少 nsContainer objectClass

Question

我正在使用 OpenLDAP，在 RHEL7 和 Ubuntu 上尝试过

# slapd -V
@(#) $OpenLDAP: slapd 2.4.44 (Apr  3 2018 08:03:36) $
    mockbuild@x86-034.build.eng.bos.redhat.com:/builddir/build/BUILD/openldap-2.4.44/openldap-2.4.44/servers/slapd

# uname -a
Linux xxx-yyy-ldap2 3.10.0-514.el7.x86_64 #1 SMP Wed Oct 19 11:24:13 EDT 2016 x86_64 x86_64 x86_64 GNU/Linux

或者

ldap# uname -a
Linux xxx-ldap2 4.4.0-131-generic #157-Ubuntu SMP Thu Jul 12 15:51:36 UTC 2018 x86_64 x86_64 x86_64 GNU/Linux
root@xxx-ldap2:/etc/ldap# 
# slapd -V
@(#) $OpenLDAP: slapd  (Ubuntu) (May 22 2018 13:54:12) $
    buildd@lcy01-amd64-019:/build/openldap-t_Ta0O/openldap-2.4.42+dfsg/debian/build/servers/slapd

当我尝试按照 documentation 在正在运行的服务器上添加 SASL 映射时，我失败了:

    ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/changes-sasl-mapping.ldif
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
adding new entry "cn=sasl,cn=config"
ldap_add: Invalid syntax (21)
    additional info: objectClass: value #1 invalid per syntax

在哪里 changes-sasl-mapping.ldif包含:

#root sasl configuration
dn: cn=sasl,cn=config
objectClass: top
objectClass: nsContainer
cn: sasl

#sasl mapping container 
dn: cn=mapping,cn=sasl,cn=config
objectClass: top
objectClass: nsContainer
cn: mapping

#sasl mapping node
dn: cn=testmap,cn=mapping,cn=sasl,cn=config
objectclass: top
objectclass: nsSaslMapping
cn: testmap
nsSaslMapRegexString: \(.*\)@\(.*\)\.\(.*\)
nsSaslMapFilterTemplate: (objectclass=inetOrgPerson)
nsSaslMapBaseDNTemplate: uid=\1,ou=Users,dc=\2,dc=\3

我认为问题出在架构不受支持/未定义的属性或对象类 nsContainer .

我在 /etc/openldap/schema/. 中搜索过在 /etc/openldap/slapd.d/cn\=config/cn\=schema/ .在这两种情况下

grep -rn . -e 'nsContainer'

什么都没给我。没有命中。我希望 nsContainer在某处定义。由于 OpenLDAP 核心应该支持 SASL，因此我没有在搜索插件。

反正。我迷路了，需要帮助。

Answer 1

基本上，您正在尝试将另一个 LDAP 服务器的特定于供应商的 SASL 配置数据应用于 OpenLDAP 的动态配置。无论如何，这绝对行不通。

您必须使用 OpenLDAP 的配置选项，如 OpenLDAP 2.4 Admin Guide 中所述。 .

不幸的是，文档仍然描述了静态配置方法。如果您使用动态配置方法(又名 cn=config)，则必须查阅配置后端的手册页以获取有关属性 olcAuthzRegexp 的详细信息。

见:slapd-config(5)