Агрегирование серверов LDAP/AD

Question

В настоящее время у нас есть небольшая группа пользователей, которые настроены на компьютере Microsoft SBS, поэтому доступны в активном каталоге.

Эти пользователи, а также группа других пользователей также имеют записи на втором сервере LDAP (openLDAP). Этот второй сервер используется для проверки подлинности и контроля доступа для нескольких различных вещей, таких как наша внутренняя система расписания, система footy tipping, форумы и управление репозиторием subversion.

Таким образом, для группы, находящейся в офисе, у них есть две отдельные учетные записи, для которых им необходимо запомнить идентификатор и пароль. Некоторые из этих внутренних систем нелегко настроить для аутентификации на нескольких LDAP-серверах (mod_authnz_ldap).

По различным причинам мы не хотим, чтобы дополнительные пользователи и группы загромождали Active Directory на машине SBS.

Я хотел бы как-то настроить виртуальный LDAP-сервер, который мог бы работать на двух существующих серверах LDAP и обеспечивать единое представление. Он вытащил бы информацию о пользователе из AD и либо с сервера openLDAP, либо также поддерживал бы дополнительные пользователи и группы внутри страны.

(На самом деле, внутренне, вероятно, будет лучше, как это было бы группы, которые существуют только на агрегированном сервере, к которым мы хотели бы назначить пользователей с сервера AD в качестве членов.)

только думаю Я знаю, что это близко к тому, что я хочу, будет Penrose virtual directory server, но я хотел посмотреть, есть ли другие варианты там, прежде чем я исследовал это намного дальше.

Answer 1

Я совсем не уверен, но вы можете что-то сделать с ADAM и proxy authentication.

Answer 2

То, что вы ищете, обычно называется виртуальным каталогом или, возможно, прокси-сервером LDAP.

Как только вы начинаете становиться более сложным, чем просто две простые системы, вы хотите начать думать о решении Identity Management, возможно, о системе каталогов Meta.

Виртуальные каталоги хороши, если этого достаточно, но часто целесообразнее собирать все данные в один метакаталог и выставлять части по мере необходимости.

Много продуктов в обоих пространствах, как правило, стоят, поскольку вы получаете то, за что платите.

Answer 3

Вы можете, по крайней мере, использовать те же идентификаторы пользователей для AD и OpenLDAP. Это позволит решить проблему с двумя идентификаторами пользователя.

Кроме того, вы можете автоматически синхронизировать пароль с AD на OpenLDAP или наоборот. Это позволит решить проблему, когда пользователям приходится запоминать несколько паролей.

Answer 4

Как указано выше, вы можете использовать продукт virtual directory, чтобы предоставить интерфейс к централизованной службе LDAP.

Некоторые компании, которые имеют продукты виртуального каталога:

• MaXware
• Radiant Logic
• OctetString
• Persistent справки
• IPLANET Directory Access Router
• Oracle
• ВС
• Многие другие