我正在使用 CentOs 7.x 64 位版本来设置 openLdap。我想使用 memberof 覆盖向用户显示他们是哪些组的成员。我的理解是，当 memberof 和 refint 覆盖处于活动状态时，Openldap 服务器会自动维护用户的 memberof 属性，并确保它与实际成员资格一致。但是，它根本没有这样做。我可以手动设置 memberof 属性，但它不必保持一致，也不会自动维护。
问题是：我对它应该如何工作以及如何让它工作的理解是否正确？
我的主要要求是准确显示会员资格。如果我可以通过 memberof 操纵成员资格，那会很好，但这不是必需的。
细节
我是按照以下步骤完成的：
- 在人员组中创建一个人，对象类为“inetOrgPerson”和“人”。并命名为“乔”
- 创建一个名为“groupOfNames”的组，名为“agent”。并且具有值为“uid=joe,ou=people,dc=company,dc=com”的成员属性
现在，当我查看人“乔”时，我找不到在 Apache ldap 工作室中启用了“显示组织属性”的“memberOf”属性。而且用下面的命令行搜索，也找不到组。
ldapsearch -H ldap://localhost -x -b "dc=company,dc=com" '(uid=joe)' memberOf
以下是 slapcat 的片段：
dn: ou=people,dc=company,dc=com
objectClass: organizationalUnit
ou: people
description: Application users
structuralObjectClass: organizationalUnit
entryUUID: 82532aa8-f3e8-1039-9c72-6f4976491fc1
creatorsName: cn=root,dc=company,dc=com
createTimestamp: 20200306112229Z
entryCSN: 20200306112229.195806Z#000000#000#000000
modifiersName: cn=root,dc=company,dc=com
modifyTimestamp: 20200306112229Z
dn: uid=joe,ou=people,dc=company,dc=com
uid: joe
cn: joe.doe
sn: doe
objectClass: inetOrgPerson
objectClass: person
userPassword:
structuralObjectClass: inetOrgPerson
entryUUID: 079b9550-03b2-103a-89f5-811bd9f87026
creatorsName: cn=root,dc=company,dc=com
createTimestamp: 20200326133249Z
entryCSN: 20200326133249.091679Z#000000#000#000000
modifiersName: cn=root,dc=company,dc=com
modifyTimestamp: 20200326133249Z
dn: cn=a1,ou=agent,dc=company,dc=com
member: uid=joe,ou=people,dc=company,dc=com
cn: a1
objectClass: groupOfNames
structuralObjectClass: groupOfNames
entryUUID: 2c9df272-047e-103a-9203-eba7d52bfa3f
creatorsName: cn=root,dc=company,dc=com
createTimestamp: 20200327135408Z
entryCSN: 20200402133540.270695Z#000000#000#000000
modifiersName: cn=root,dc=company,dc=com
modifyTimestamp: 20200402133540Z
我正在使用 ansible 来运行配置。这是配置文件的片段
- name: Install memberof and refint overlays
include_tasks: "{{ role_path }}/tasks/add_module_to_ldap_conf.yml"
vars:
add_module_to_ldap: "{{ item }}"
loop:
- name: memberof overlay
module_file: 'memberof.la'
- name: refint overlay
module_file: 'refint.la'
- name: Activate overlays
include_tasks: "{{ role_path }}/tasks/put_ldap_admin_entry.yml"
vars:
put_ldap_entry:
dn: "olcOverlay={{ item.overlay }},'olcDatabase={2}hdb','cn=config'"
objectClass: "{{ item.objectClass }}"
attributes: "{{ item.attributes }}"
loop:
- overlay: memberof
objectClass:
- top
- olcConfig
- olcMemberOf
- olcOverlayConfig
attributes:
olcOverlay: memberof
olcMemberOfRefint: 'TRUE'
olcMemberOfDangling: ignore
olcMemberOfGroupOC: groupOfNames
olcMemberOfMemberAD: member
olcMemberOfMemberOfAD: memberOf
- overlay: refint
objectClass:
- top
- olcConfig
- olcRefintConfig
- olcOverlayConfig
attributes:
olcOverlay: refint
olcRefintAttribute: 'memberof member manager owner'
我尝试手动添加 memberOf 属性，搜索可以返回该组。但是，当人员的组更新时，它不会维护该组。所以我怀疑翻新也不起作用。
ldapsearch -H ldap://localhost -x -b "dc=company,dc=com" '(uid=joe)' memberOf
这是活动覆盖片段：
ldapsearch -LL -Y EXTERNAL -H ldapi:/// -b cn=Overlays,cn=Monitor -s base monitoredObject
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
version: 1
dn: cn=Overlays,cn=Monitor
objectClass: monitorContainer
cn: Overlays
description: This subsystem contains information about available overlays.
monitoredInfo: refint
monitoredInfo: memberof
monitoredInfo: glue