wiki:AdminLdap
close Warning: Can't synchronize with repository "keplertools" (/srv/svn/keplertools does not appear to be a Subversion repository.). Look in the Trac log for more information.

Version 7 (modified by bau, 15 years ago) ( diff )

--

  1. LDAP-Server
    1. LDAP in der Linux-Musterlösung
      1. Common-Name-(dc)-Attribute
      2. LDAP-Gruppen
        1. Testfall: Nutzer test
    2. Nutzer in eine LDAP-Gruppe aufnehmen
    3. Externe Links

LDAP-Server

Unser LDAP-Server läuft auf dem paedml-Rechner. Er authentifiziert alle Nutzer, die ein Account unter der PaedML-Musterlösung haben, also alle am Gymnasium aktiven Schüler und Lehrer.

Wenn Änderungen am LDAP vorgenommen wurden sollte auch der samba neu gestartet werden, da sich in letzter Zeit vermehrt Probleme mit dem Domänenanmeldedienst nach einer Änderung am LDAP ergaben.

LDAP in der Linux-Musterlösung

Informationen zum LDAP finden sich unter ​http://www.linuxmuster.net / Stichwort LDAP.

Common-Name-(dc)-Attribute

Bei uns müssen die dc-Attribute angegeben werden als:

dc=kg-fds, dc=de

Achtung!
dc=paedml darf nicht angegeben werden!

LDAP-Gruppen

Wir verwenden die Einstellungen der PaedML. Dort gibt es eine Gruppe für die Lehrer, die Schüler sind aber etwas komisch erfasst. Allerdings gilt: Entweder bist du Lehrer oder eben Schüler :-)

Recht gut ist die Abfrage einer LDAP-Gruppe hier beschrieben:
​http://www.linuxmuster.net/version3:webverzeichnisse_schuetzen_mit_.htaccess-dateien?s[]=ldap

dort steht: 

# Prototyp einer .htaccess für die LML 4.0
AuthType? Basic
AuthName? "Interner Bereich"
AuthBasicProvider? ldap
AuthLDAPUrl ldap://10.16.1.1/dc=linuxmuster,dc=local?uid
AuthLDAPGroupAttributeIsDN off
AuthLDAPGroupAttribute memberUid
Require ldap-group cn=teachers,ou=groups,dc=linuxmuster,dc=local

Die dc's am Ende müssen bei uns dc=kg-fds, dc=de heißen.

Achtung!
dc=paedml darf nicht angegeben werden!

Für ein funktionierendes Beispiel siehe AdminApache#Trac.

Testfall: Nutzer test

Nutzer test ist nicht in der LDAP-Gruppe teachers.

Nutzer in eine LDAP-Gruppe aufnehmen

  1. Die LDAP-Gruppen stehen unterhalb der organizational unit ou=groups.
  2. Den dortigen LDAP-Datensätzen muss ein weiterer Eintrag memberUID=<uid> hinzugefügt werden.

Alternative: Stattdessen kann offenbar auch das Tool smbldap-usermod verwendet werden: 

smbldap-usermod -G <group> <uid>
  1. wichtig: damit diese Änderung sofort Effekt zeigt, muss der name service caching deamon nscd über die Änderung informiert werden. Das geht mittels 
    nscd --invalidate group
    Sonst wirkt sich die Änderung erst aus, wenn der nscd regulär die LDAP-Konfiguration neu einliest.
Note: See TracWiki for help on using the wiki.