Dotaz: ldap ujasnění základů

[LdaP]

Zkouším prvně ldap a překvapilo mě několik věcí. Jak se standartně nechává přístup pro anonymní uživatele? Překvapilo mě, že nepřihlášený uživatel může číst všechny záznamy. Vím jak to zablokovat, ale nevím jestli se to tak standartně dělá. Dále to dc= musí být název domény např. dc=domena,dc=cz nebo celej název serveru dc=server,dc=domena,dc=cz?

Odpovědi

[Jan Včelák]

Jestli chcete, tak to zablokujte. Já to třeba zablokované nemám. Anonymní uživatel se může podívat, co je v systému za uživatele - stejně jako může napsat cat /etc/passwd. Ale hesla neuvidí - ty atributy jsou skryté. A navíc připojení k LDAP serveru nemám ve firewallu povolen - potřebuji ho pouze lokálně.

Asi je to na vás, podle toho jak moc citlivá data v LDAP jsou a k jakému účelu ho používáte.

[Zdeněk Burda]

Ahoj,

práva si můžeš nastavit podle toho jak potřebuješ. Například výchozí nastavení OpenLDAPu mi téměř nikdy nevyhovuje, takže ho měním. Nemusíš vystavovat úplně všechny informace, ale pokud rozjíždíš adresářový server v interní síti, tak se někdy hodí mít přístup odkudkoliv k základním informacím anonymně...

Ohledně pojmenovávání čehokoliv v LDAPu doporučuji přečíst například http://www.skills-1st.co.uk/papers/ldap-schema-design-feb-2005/ldap-schema-design-feb-2005.pdf

[LdaP]

Mě by se hodilo mít viditelné jen některé položky a některé skrýt. To se nastavuje v konfiguráku nebo přímo ve struktuře?

[Zdeněk Burda]

Pokud používáš OpenLDAP, tak v konfiguračním souboru serveru (slapd.conf) nastav přístupová práva dle potřeby (to je ta část kde je access to..., více v manuálové stránce: man slapd.access).