Zastosowanie serwera LDAP jako mechanizmu autoryzacji oraz źródła informacji o użytkownikach w systemach Unix na WMiI

1. Historia
   • niewielka ilość komputerów (systemów) - wystarczały zwykłe pliki
   • próby zastosowania NIS+ w systemie Solaris (NIS nie był brany pod uwagę, ze względu na dostępność zaszyfrowanych haseł).
   • problemy: slabe wsparcie dla systemów innych niż Solaris, binarny format plików
   • pojawienie się większej ilości komputerów PC z lokalnymi systemami Linux i Solaris,
     próby z NIS+ dla Linuxa
   
   
2. LDAP - zalety
   • nie jest możliwy odczyt nawet zaszyfrowanego hasła
   • dane inne niż hasła można pobrać anonimowo
   • wsparcie dla większości platform, możliwość szerszych zastosowań (np. portale)
   • małe wymagania sprzętowe dla serwera
   • łatwość robienia kopii
   • możliwość wykorzystania standardowych narzędzi do zarządzania danymi
   
   
3. Serwer - oprogramowanie
   • OpenLDAP - darmowy, powszechnie używany
   • obecnie wersja 2.0.x (LDAP protocol v3)
   • nis schema
   • Migration Tools - www.padl.com
   • ACL:

     access to attr=userPassword
               by self write
               by anonymous auth
               by * none
     
     access to *
               by * read
     

   • wydajność

     index   default                 pres,eq
     index   objectClass             pres,eq
     index   cn,uid                  pres,eq,sub
     index   uidnumber,gidnumber     pres,eq
     
     cachesize      4000
     dbcachesize    400000     # cache dla indeksów, znacznie zwiększa wydajność
     

   
   
4. Klient - oprogramowanie
   • pam_ldap i nss_ldap - www.padl.com
   • /etc/ldap.conf, /etc/nsswitch.conf, /etc/pam.d/ lub /etc/pam.conf
     /lib/openldap
   • Linux, Solaris/ix86 (nie był używany standardowy moduł dostępny w Solarisie), licencja GNU - dostępny kod źródłowy
   • z LDAPa korzysta ponad 40 PCtów w tym jeden pracujący jako serwer dostępowy dla XTerminali
   • wydajność - użycie nscd
   
   
5. Powiązanie z istniejącym systemem dystrybucji plików
   • główny plik z hasłami utrzymywany na jednym z serwerów Solaris/Sparc
   • hasła są dystrybuowane w razie potrzeby co 5 minut, na główne serwery Sparc/Solaris kopiowane są fragmenty plików, uaktualniana jest także zawartość bazy LDAP
   
   
6. Przyszłość
   • klient Solaris/Sparc
   • autoryzacja na stronach WWW - PHP, moduł dla Apache'a
   • użycie secure LDAP
   • replika
   • mapy automounter'a

Rafał Metkowski, 24.01.2002