29、LDAP ACL 与 MySQL 数据库安全指南

LDAP ACL 与 MySQL 数据库安全指南

1. LDAP ACL 解析

LDAP（轻量级目录访问协议）的访问控制列表（ACL）是保障系统安全的重要组成部分。从技术上讲，整个 ACL 可以列在一行，例如 access to * by users read by * auth ，但按照惯例，我们会将每个 by... 语句单独列一行，因为 slapd 足够智能，能识别 access to 字符串标志着下一个 ACL 的开始。

ACL 解析遵循“从上到下，首次匹配即生效”的原则，就像一组过滤器。因此，将特定的 ACL 和 by... 语句放在更通用的语句之上至关重要。例如，先设置限制对 userPassword 属性的访问规则，再设置适用于整个 LDAP 数据库的规则，这样“允许用户更改自己的密码”规则就成为“用户对任何内容只有只读访问权限”这一更通用规则的例外。

访问级别具有层级性，可能的级别包括 none 、 auth 、 compare 、 search 、 read 和 write ，其中 none 是最低访问级别， write 是最高级别，且每个级别都包含比它低的所有级别的权限。理解这两个关键点对于正确解析 ACL 以及确保访问权限符合预期非常重要。