17、利用客户端 SSL/TLS 证书进行身份验证及访问控制

利用客户端 SSL/TLS 证书进行身份验证及访问控制

1. SASL EXTERNAL 身份验证机制概述

SASL 和 SSL/TLS 可以结合使用来执行 SASL EXTERNAL 身份验证。在 SASL EXTERNAL 身份验证中，SASL 模块依赖外部源（这里指客户端的 X.509 证书）作为身份来源。使用这种配置，拥有适当签名证书的客户端可以在不输入用户名和密码的情况下绑定到 SLAPD，同时保证安全性。

其工作原理如下：
- 客户端和服务器通过 SSL/TLS 保护进行通信，可以使用 LDAPS 或 StartTLS。
- 服务器发送其证书时，会请求客户端也提供证书。
- 客户端发送自己的证书，其中包括身份信息、公钥以及服务器能识别的证书颁发机构的签名。
- 服务器验证证书后，通过 SASL 子系统将身份信息传递给 SLAPD。
- SLAPD 使用该信息进行绑定。

由于客户端发送的证书包含验证客户端身份所需的所有信息，因此无需登录/密码组合。

配置 SASL EXTERNAL 机制需要以下步骤：
1. 创建新的客户端证书。
2. 配置客户端发送证书。
3. 配置 SLAPD 正确处理客户端证书。
4. 配置 SLAPD 正确转换客户端证书中提供的身份信息。

2. 创建新的客户端证书

创建新的客户端证书与创建服务器证书没有太大区别，我们将使用之前创建的证书颁发机构。

步骤 1：创建新的证书请求