괜히 입을 잘못놀려서...
회사 전화기가 LDAP 지원하는걸 발견했을 때 "어? 이걸로 전화번호부 쓰면 되겠네요" 했다가
"그래? 그럼 니가 만들어" 당첨된 사람입니다. (신나죽겠네 ㅠ_ㅠ)
OpenLDAP 는 뚝딱하고 됐고, 회사 전화번호부는 MySQL에 들어있길래 그걸 맞춰서 넣기도 했고
검색도 되고, 업데이트 되고 잘 됐습니다.
근데 검색제한이 문제라 문의드립니다.
현재 설정은
--------------------------------------------------------
######집어넣은 설정######
access to dn.regex="ou=([^,]+),dc=my-domain,dc=com" attrs=userPassword
by self read
by anonymous auth
by * disclose
access to *
by anonymous auth
by * read
(여길 by * disclose 로 해버리면 권한없음이 떠버립니다. )
######원래 있던거, 유지중입니다.######
# enable on-the-fly configuration (cn=config)
database config
access to *
by dn.exact="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" manage
by * none
# enable server status monitoring (cn=monitor)
database monitor
access to *
by dn.exact="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" read
by dn.exact="cn=Manager,dc=my-domain,dc=com" read
by * none
--------------------------------------------------------
이런상황이고, 전화기에 셋팅할 내용은
BaseDN
ou=영업부,dc=my-domain,dc=com
UserName
ou=영업부,dc=my-domain,dc=com
이런식인데, 문제는 BaseDN 설정을
dc=my-domain,dc=com 로 해버리면
전체 검색이 되어버리는 점입니다.
부서별로 보여주고 싶지 않은(?) 연락처등이 있어서, 격리를 시켜야하는데,
설정을 걸 방법을 찾지를 못하는 상태입니다.
아무쪼록 답변 부탁드립니다. (__)
access to dn.regex="ou=([^,]+),dc=my-domain,dc=com" attrs=telephonenumber
by self read
by anonymous auth
by * disclose
password 대신에 telephonenumber 로 바꾸시는건 어떨까요?
단, 위 정규표현식에 따르면.. 자기 OU 안에 있는 명단 밖에 조회가 안됩니다.
이러면 전화번호부의 의미가 없지 않을까요?
결국 멀티 OU 검색 및 특정 OU 필터를 위해서는..
addressbook을 만들거나(group) 각 OU별로 복잡한 ACL을 걸거나 해야 할 듯 합니다.
자기가 속한 OU 내에서만 검색이 되게 하는 것이 목적입니다.
(OU별로 완전격리지요)
멀티 OU 검색은 절대로 쓸 일이 없는게 다행입니다. 같은 데이터를 또 넣던지 하겠지요 뭐 ㅎㅎ;
알려주신대로 attrs=telephonenumber 로 변경해보았습니다만, base DN을 임의 변경했을 때, 다른 검색유저의 ou 이외의 다른 ou 도 검색되는건 막을 수가 없네요
현재 구조상에서는 검색결과가 이상이 발생하지만, OU 별로 검색제한만 걸 수 있으면 구조야 바꾸면 되는데 말이죠 OTL
현재 구조는
dc=my-domian,dc=com
-ou=sales
--cn=전화회선1
---uid=검색될 전화번호 (objectClass(extensibleObject, person), cn, sn, telephoneNumber, uid)
이런 구조다 보니... 제가 이해를 잘못하는건지 참 어렵네요 ㅠ_ㅠ
access to dn="dc=my-domain,dc=com"
by * none
access to dn.subtree="ou=system,dc=my-domain,dc=com"
by dn="ou=system,dc=my-domain,dc=com" read
by * disclose
access to dn.subtree="ou=sales,dc=my-domain,dc=com"
by dn="cn=ou=sales,dc=my-domain,dc=com" read
by * disclose
.
.
.
이렇게 해결봤습니다.