21、OpenLDAP高级配置与性能调优指南

OpenLDAP高级配置与性能调优指南

1. OpenLDAP安全与访问控制

在OpenLDAP的使用中，安全是至关重要的。为了平衡目录的安全性和可用性，我们可以设置一系列的访问控制规则。以下是一些基本规则示例：

# 禁止任何人修改组织单元、员工编号或员工类型
access to attrs=ou,employeeNumber,employeeType by users read
# 阻止认证账户读取其他内容，同时也阻止匿名访问
access to *
       by dn.exact="uid=Authenticate,ou=System,dc=example,dc=com" 
           none
       by users none break
# 防止ou=Users中的DN查看系统账户
access to dn.subtree="ou=System,dc=example,dc=com"
       by dn.subtree="ou=Users,dc=example,dc=com" none
       by users read
# 允许用户在其自身记录下添加子条目
access to dn.regex="^.*,uid=([^,]+),ou=Users,dc=example,dc=com$"
       by dn.exact,expand="uid=$1,ou=Users,dc=example,dc=com" write
# 默认规则：允许DN修改其自身记录，其他用户具有读取权限
access to *
       by self write
       by users read