afp使用ldap

安装

sudo apt install netatalk
服务
netatalk

man 手册
afp.conf
afp_signature.conf
afp_voluuid.conf
extmap.conf 扩展名映射
afpd
cnid_dbd
cnid_metad
netatalk

工具
/usr/bin/ad
/usr/bin/afpldaptest
/usr/bin/afpstats
/usr/bin/apple_dump
/usr/bin/asip-status.pl
/usr/bin/cnid2_create
/usr/bin/dbd
/usr/bin/macusers
配置文件
/etc/default/netatalk 这个文件不再使用
/etc/netatalk
/etc/netatalk/afp.conf
/etc/netatalk/dbus-session.conf
/etc/netatalk/extmap.conf 文件扩展名映射
pam 文件
/etc/pam.d/netatalk

服务
systemctl enable avahi-daemon
sudo systemctl restart netatalk

查看状态
sudo afpstats

测试ldap用户
afpldaptest -u testuser

配置文件
/etc/netatalk/afp.conf
创建pid文件 日志文件 跟samba一样 以root运行
sudo touch /var/lock/netatalk
sudo touch /var/log/afpd.log

afp.conf配置说明

段落
特殊段落 [Global] 全局配置 [Homes] unix 账户的 home目录
全局配置 [Global]
用于 windows ad 格式 user@domain
ad domain = DOMAIN
客户端是否可以在本地保存密码
save password = yes
客户端是否可以修改密码
set password = no
UAMs 列表
uam list = uams_dhx.so uams_dhx2.so
字符集
mac charset = MAC_ROMAN
unix charset = UTF8
vol charset = UTF8
密码文件 默认值@pkgconfdir@/afppasswd
passwd file =
最小密码长度
passwd minlen =
使用ssh代理afp连接
advertise ssh = no
监听接口名 空格分开
afp interfaces =
监听端口 默认548 tcp
afp port = 548
监听地址端口
afp listen = ip address[:port] [ip address[:port]
连接 CNID服务器
cnid listen = localhost:4700
单位小时 断开会话
disconnect time = 24
不使用系统的主机名 这里指定
hostname =
最大连接数
max connections = 200
客户端处于睡眠模式保持的会话时间 单位小时
sleep time = 10
使用 zeroconf
zeroconf = yes

afp read locks = no
开启 运行时统计
afpstats = no
显示登录标语
login message =
日志文件
log file = /var/log/afpd.log
日志等级 可选类型 default, afpdaemon, logger, uamsdaemon
可选等级 severe, error, warn, note, info, debug, debug6, debug7, debug8, debug9, maxdebug
log level = default:warn
用户映射权限 none|rights|mode
map acls =
ldap认证方式 匿名 简单 sasl
ldap auth method = none|simple|sasl
简单认证绑定用户
ldap auth dn = dn
ldap auth pw =
ldap server =
搜索 dc
ldap userbase =
base | one | sub
ldap userscope =

[自定义 段落 ] 不能重名 不能包含 : 限制在27个字符
完整路径
path =
用于 time machine 限制 大小 单位 mib
vol size limit
有效用户 @为组
valid users = user @group
invalid users =
hosts allow = IP host address/IP netmask bits
hosts deny = IP host address/IP netmask bits
扩展属性
ea = none|auto|sys|ad|samba
段落的单独密码
password = password
文件和目录默认权限
file perm = 0660 directory perm = 0770
读写用户组
rolist = users/groups
rwlist = users/groups
隐藏文件或目录
veto files = veto1/veto2/
隐藏 .文件 linux隐藏文件
invisible dots = no
stat vol = yes
在这个段落启动时光机
time machine = yes

afp连接ldap示例

写在前面
afp 不支持 tls ssl 的 ldap连接 不支持sasl 连接 只能明文连接到ldap服务器 这样意味着 在链路上可以监听到bind用户的用户名和密码 以及所有内容
#可以使用 ssh代理 ,Stunnel 创建加密隧道通信

[Global]
mimic model = Xserve
log level = default:debug9
log file = /var/log/afpd.log
uam list = uams_dhx.so uams_dhx2.so
map acls = mode
aclinherit = passthrough
aclmode = passthrough

ldap auth method = simple
#只读账户即可 不必可读写的admin
ldap auth dn = cn=reader,dc=test,dc=com
ldap auth pw = 1212121
;不能使用sasl连接只能simple ldaps 没试过
ldap server = 192.168.131.130:389
ldap userbase = ou=people,dc=test,dc=com
ldap userscope = one
ldap groupbase = ou=groups,dc=test,dc=com
ldap groupscope = one
#macos 使用uuid区分用户 需要在ldap添加uuid属性 uniqueIdentifier
#使用 创建uuid cat /proc/sys/kernel/random/uuid

#然后 通过 ldap uuid attr 指定uuid属性
#使用 afpldaptest -u testuser 测试ldap是否可用
#不要使用 shadowmax 否则提示密码过期 kFPPwdExpiredErr
#ldap的uniqueIdentifier属性
#ldap uuid attr = uniqueIdentifier

#可以直接使用ldap的entryUUID 不必ldap uuid attr = uniqueIdentifier 单独占用一个属性
ldap uuid attr = entryUUID
ldap name attr = uid
ldap group attr = gid
ldap uuid encoding = string

[test]
path = /home/aaa/share
file perm = 0770
directory perm = 0770
umask = 0007
time machine = yes