olcAccess правило для работы sudo-ldap
Здравствуйте!
Помогите пожалуйста написать правило для работы sudo-ldap.
Вот имеющиеся правила:
olcAccess: {0}to * by
dn.exact=gidNumber=0+uidNumber=0,cn=peercred,cn=external
,cn=auth manage by dn="cn=zentyal,dc=cvision,dc=lab" manage by * break
olcAccess: {1}to attrs=userPassword,shadowLastChange,krb5Key by
dn="cn=zentyal
,dc=cvision,dc=lab" write by anonymous auth by
dn="cn=zentyalro,dc=cvision,dc
=lab" none by self write by * none
olcAccess: {2}to attrs=userPassword by dn="cn=zentyal,dc=cvision,dc=lab"
write
by self write by * none
olcAccess: {3}to * by users read
Если добавить в начале
olcAccess: {0}to * by * read
То не работает смена пароля. Опять же не могу понять из-за какого правила?
Может быть из-за break ? (правило 0)
Или из-за by * none (правило 1)
Но при этом sudo-ldap нормально ищет в каталоге и работает.
Если добавить в конце, то смена пароля работает, но не хватает прав у
sudo-ldap.
Какое минимальное правило должно быть для sudo-ldap на чтение каталога
(доступ на чтение только ветки ou=SUDOers не достаточен - я проверял)?
Я знаю, что sudo-ldap может работать и подключаясь под конкретным dn. Но
мне хочется сделать без этих дополнительных настроек. Например, чтобы не
хранить на машине binddn и bindpw от Read-Only аккаунта для sudo-ldap.
Хотя опять же - как правильно ?
Хотя конечно я уже храню их для работы nslcd в файле /etc/nslcd.conf
Но может есть более правильный подход к организации входа в систему
через LDAP и всего сопутствующего ?
Можно ли открывать каталог для доступа на чтение всем пользователям
локальной сети ?
Как сделать доступ на чтение всего каталога всем в том числе и анонимным
пользователям, кроме опять же атрибутов с хэшами паролей ?
Спасибо большое заранее.
--
С Уважением,
специалист по техническому и программному обеспечению,
системный администратор
Скубриев Владимир
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Россия, Ростовская область, г. Таганрог
тел. моб: +7 (918) 504 38 20
skype: v.skubriev
icq: 214-800-502
www: skubriev.ru
Reply to: