Как создать группы LDAP для доступа к приложениям?

Question

Я довольно новичок в LDAP, и у меня возникает вопрос, как я должен проектировать группы LDAP (подгруппы?) Для централизованного управления пользователями, например, с JIRA, Jenkins и другими приложениями.

У меня есть открытая установка Ldap на Debian работает с JIRA и Дженкинс разрешать на основе таких групп, как, например, эта группа разработчиков:

cn=developers,ou=groups,dc=example,dc=com 
dn: cn=developers,ou=groups,dc=example,dc=com 
cn: developers 
member: cn=John Doe,ou=people,dc=example,dc=com 
objectclass: groupOfNames 

Мой вопросом является наилучшей практикой для настройки LDAP в такой ситуации , Идеи и вопросы:

• Должен ли я просто продолжать использовать группу разработчиков и управлять всеми авторизации в рамках отдельных приложений, таких как JIRA на основе этой группы. Поэтому удалите jira-разработчиков в jira и работайте с разработчиками группы.
• Должен ли я создавать отдельные группы для каждого приложения, например. (jira-developers-group) и просто поддерживать каждое приложение отдельно в LDAP?
• Должен ли я попытаться настроить структуру подгруппы (подчиненной?), Поэтому каждый член разработчиков автоматически входит в состав jira-разработчиков, jenkins-разработчиков и т. Д.?

У меня есть я прочитал http://www.zytrax.com/books/ldap/ для большой части и думал, что это было полезно, но я до сих пор не уверен, что это лучший/самый распространенный способ сделать это. Организация не очень большая, хотя я бы хотел быть будущим доказательством. Любая помощь будет большой.

Answer 1

Мы используем одну группу для каждой службы. Итак, одна или несколько групп для пользователей, которые должны использовать jira и другой набор групп для jenkins и так далее. Таким образом, у вас есть одно центральное место для изменения членства в группе, и вам не нужно добавлять пользователя в каждую систему.

И поскольку большинство систем просто проверяют членство в группе, а не есть ли общая супергруппа, я бы просто использовал простые группы.

Чтобы узнать, какие группы относятся к системе, мы используем имя системы в имени группы. Таким образом, все группы, связанные с джирой, начинаются с «jira_», и все связанные с дженкинсом начинаются с «jenkins_». И тогда есть «jira_developers» и «jira_qanda» и «jira_admins» и «jenkins_admins» и «jenkins_project_a» и «jenkins_project_b» и т. Д.

Но могут быть разные взгляды на это.