Aggregieren von LDAP-/AD-Servern

Question

Derzeit haben wir eine kleine Gruppe von Benutzern, die auf einem Microsoft SBS-Computer eingerichtet sind und daher im Active Directory verfügbar sind.

Diese Benutzer sowie eine Reihe anderer Benutzer haben ebenfalls Einträge auf einem zweiten LDAP-Server (openLDAP). Dieser zweite Server wird für die Authentifizierung und Zugriffskontrolle für einige verschiedene Dinge verwendet, wie unser internes webbasiertes Zeiterfassungs-System, Footy-Tipping-System, Foren und Subversion-Repository-Kontrolle.

Somit haben sie für die Gruppe, die im Büro sind, zwei getrennte Konten, für die sie sich ID und Passwort merken müssen. Einige dieser internen Systeme sind nicht einfach zu konfigurieren, um sich bei mehreren LDAP-Servern zu authentifizieren (mod_authnz_ldap).

Aus verschiedenen Gründen möchten wir nicht, dass die zusätzlichen Benutzer und Gruppen das Active Directory auf dem SBS-Computer überladen.

Ich würde gerne irgendwie in der Lage sein, einen virtuellen LDAP-Server einzurichten, der über die beiden vorhandenen LDAP-Server funktionieren und eine einheitliche Ansicht bereitstellen kann. Es würde die Benutzerinformationen von AD und entweder vom openLDAP-Server abrufen oder die zusätzlichen Benutzer und Gruppen intern verwalten.

(Eigentlich wäre intern wahrscheinlich besser sein, da es Gruppen sein würde, die nur auf dem aggregierten Server vorhanden sein würde, auf die wir möchten Benutzer aus dem Active Directory-Server als Mitglieder zuweisen.)

Die einzige denken Ich weiß, dass es nahe ist, das zu tun, was ich möchte, wäre die Penrose virtual directory server, aber ich wollte sehen, ob es noch andere Möglichkeiten gab, bevor ich das noch weiter untersuchte.

Answer 1

Ich bin überhaupt nicht sicher, aber Sie können möglicherweise etwas mit ADAM und proxy authentication tun.

Answer 2

Was Sie suchen, wird normalerweise ein virtuelles Verzeichnis oder vielleicht ein LDAP-Proxy genannt.

Sobald Sie beginnen, komplexer als nur zwei einfache Systeme zu werden, sollten Sie sich Gedanken über eine Identity Management-Lösung machen, vielleicht ein Meta-Verzeichnissystem.

Virtuelle Verzeichnisse sind schön, wenn das ausreicht, aber oft ist es sinnvoller, alle Daten in einem Metaverzeichnis zu sammeln und Teile davon nach Bedarf freizulegen.

Viele Produkte in beiden Räumen, in der Regel Kosten, wie Sie bekommen, was Sie bezahlen.

Answer 3

Sie könnten mindestens die gleichen Benutzer-IDs für AD und OpenLDAP verwenden. Dies würde ein doppeltes Benutzer-ID-Problem lösen.

Zusätzlich könnten Sie automatisch das Passwort von AD zu OpenLDAP oder anders herum synchronisieren. Dies würde das Problem der Benutzer lösen, die sich mehrere Passwörter merken müssen.

Answer 4

Wie oben erwähnt, können Sie ein virtual directory Produkt verwenden, um eine Schnittstelle zu einem zentralisierten LDAP-Dienst zu geben.

Einige Unternehmen, die virtuelle Verzeichnis Produkte haben:

• MaXware
• Radiant Logic
• OctetString
• Persistent Anfragen
• iPlanet Directory Access Router
• Oracle
• Sun
• Viele andere