18、深入理解OpenLDAP访问控制列表（ACLs）

深入理解OpenLDAP访问控制列表（ACLs）

1. ACLs的放置位置与规则应用

ACLs（访问控制列表）可以放置在后端部分（数据库指令下方），这种情况下，ACLs仅在处理数据库内信息的请求时使用。规则的应用逻辑如下：
- 若后端没有特定的ACLs，则应用全局规则。
- 若后端有ACLs，仅当后端特定规则都不适用时，才应用全局规则。
- 若请求的记录不在任何后端存储，如Root DSE或cn=subschema条目，则仅应用全局规则。

ACLs在其上下文中是从上到下评估的，从配置文件中的第一个指令到最后一个。当测试后端特定规则时，SLAPD从列表中的第一个规则开始测试，依次进行，直到匹配到停止规则或到达列表末尾。

在配置方面，之前我们将ACLs直接放在slapd.conf配置文件中，现在可以将它们放在单独的文件中，并在slapd.conf中使用include指令让SLAPD加载ACLs文件，这样可以将可能很长的ACLs与其他配置文件分开。

2. ACL的格式

一个访问指令的格式如下：

access to [resources] 
             by [who] [type of access granted] [control]
             by [who] [type of access granted] [control]
# More 'by' clauses, if necessary....

访问指令可以有一个 access to