wiki:AdminLdap
close Warning: Can't synchronize with repository "keplertools" (/srv/svn/keplertools does not appear to be a Subversion repository.). Look in the Trac log for more information.

Version 6 (modified by Rüdiger Kupper, 15 years ago) ( diff )

Aufnehmen in eine LDAP-Gruppe

  1. LDAP-Server
    1. LDAP in der Linux-Musterlösung
      1. Common-Name-(dc)-Attribute
      2. LDAP-Gruppen
        1. Testfall: Nutzer test
    2. Nutzer in eine LDAP-Gruppe aufnehmen
    3. Externe Links

LDAP-Server

Unser LDAP-Server läuft auf dem paedml-Rechner. Er authentifiziert alle Nutzer, die ein Account unter der PaedML-Musterlösung haben, also alle am Gymnasium aktiven Schüler und Lehrer.

LDAP in der Linux-Musterlösung

Informationen zum LDAP finden sich unter ​http://www.linuxmuster.net / Stichwort LDAP.

Common-Name-(dc)-Attribute

Bei uns müssen die dc-Attribute angegeben werden als:

dc=kg-fds, dc=de

Achtung!
dc=paedml darf nicht angegeben werden!

LDAP-Gruppen

Wir verwenden die Einstellungen der PaedML. Dort gibt es eine Gruppe für die Lehrer, die Schüler sind aber etwas komisch erfasst. Allerdings gilt: Entweder bist du Lehrer oder eben Schüler :-)

Recht gut ist die Abfrage einer LDAP-Gruppe hier beschrieben:
​http://www.linuxmuster.net/version3:webverzeichnisse_schuetzen_mit_.htaccess-dateien?s[]=ldap

dort steht: 

# Prototyp einer .htaccess für die LML 4.0
AuthType? Basic
AuthName? "Interner Bereich"
AuthBasicProvider? ldap
AuthLDAPUrl ldap://10.16.1.1/dc=linuxmuster,dc=local?uid
AuthLDAPGroupAttributeIsDN off
AuthLDAPGroupAttribute memberUid
Require ldap-group cn=teachers,ou=groups,dc=linuxmuster,dc=local

Die dc's am Ende müssen bei uns dc=kg-fds, dc=de heißen.

Achtung!
dc=paedml darf nicht angegeben werden!

Für ein funktionierendes Beispiel siehe AdminApache#Trac.

Testfall: Nutzer test

Nutzer test ist nicht in der LDAP-Gruppe teachers.

Nutzer in eine LDAP-Gruppe aufnehmen

  1. Die LDAP-Gruppen stehen unterhalb der organizational unit ou=groups.
  2. Den dortigen LDAP-Datensätzen muss ein weiterer Eintrag memberUID=<uid> hinzugefügt werden.

Alternative: Stattdessen kann offenbar auch das Tool smbldap-usermod verwendet werden: 

smbldap-usermod -G <group> <uid>
  1. wichtig: damit diese Änderung sofort Effekt zeigt, muss der name service caching deamon nscd über die Änderung informiert werden. Das geht mittels 
    nscd --invalidate group
    Sonst wirkt sich die Änderung erst aus, wenn der nscd regulär die LDAP-Konfiguration neu einliest.
Note: See TracWiki for help on using the wiki.