☰

Права группы администратора ACL OpenLdap

tag-icon • tag-icon openldap access-control-list
Права группы администратора ACL OpenLdap

Привет, я пытался получить ACL уровня администратора и оператора, но безуспешно. Пока что у меня есть

access to attrs=userPassword,shadowLastChange 
    by self write
    by anonymous auth
    by set="[cn=Administrators,ou=group,dc=company,dc=com]/member* & user" manage
    by set="[cn=Domain Admins,ou=groups,dc=company,dc=com]/memberUid* & user" manage
    by set="[cn=Operators,ou=groups,dc=company,dc=com]/member* & user" read
    by * none

access to attrs=userPassword,shadowLastChange,sambaLMPassword,sambaNTPassword,displayName,description,givenName
    by anonymous auth
    by self =rwdx
    by set="[cn=Administrators,ou=group,dc=company,dc=com]/member* & user" manage
    by set="[cn=Domain Admins,ou=groups,dc=company,dc=com]/memberUid* & user" manage
    by set="[cn=Operators,ou=groups,dc=company,dc=com]/member* & user" read

access to dn.subtree="dc=company,dc=com"
    by self =rwdx
    by set="[cn=Administrators,ou=groups,dc=company,dc=com]/member* & user" manage
    by set="[cn=Domain Admins,ou=groups,dc=company,dc=com]/memberUid* & user" manage
    by set="[cn=Operators,ou=groups,dc=company,dc=com]/member* & user" read
    by * break

Мне нужно предоставить администраторам и администраторам домена полные права, а операторам — доступ на чтение. При указанных выше настройках даже администраторы получат доступ на чтение.

Есть идеи? Спасибо.

решение1

Я изменил конфигурацию следующим образом и, похоже, пока все работает

access to attrs=userPassword,sambaNTPassword,shadowLastChange
    by anonymous auth
    by self write
    by group.exact="cn=Administrators,ou=groups,dc=company,dc=com" manage
    by group.exact="cn=Operators,ou=groups,dc=company,dc=com" read

access to *
    by self write
    by dn.exact="uid=austek,ou=Technical,ou=people,dc=company,dc=com" manage
    by group.exact="cn=Administrators,ou=groups,dc=company,dc=com" manage
    by group.exact="cn=Operators,ou=groups,dc=company,dc=com" read
    by * break

Связанный контент