Erweiterte Einstellungen für LDAP-Benutzerregistry

Gibt den LDAP-Benutzerfilter an, der die Benutzerregistry nach Benutzern durchsucht.

Diese Option wird in der Regel für die Zuordnung von Sicherheitsrollen zu Benutzern verwendet und gibt die Eigenschaft an, nach der Benutzer im Verzeichnisservice gesucht werden. Wenn Sie beispielsweise Benutzer nach Ihren Benutzer-IDs suchen möchten, geben Sie (&(uid=%v)(objectclass=inetOrgPerson)) an. Weitere Informationen zu dieser Syntax finden Sie in der Dokumentation zu LDAP-Verzeichnisservices.

Gibt den LDAP-Gruppenfilter an, der die Benutzerregistry nach Gruppen durchsucht.

Diese Option wird in der Regel für die Zuordnung von Sicherheitsrollen zu Gruppen verwendet und gibt die Eigenschaft an, nach der Gruppen im Verzeichnisservice gesucht werden. Weitere Informationen zu dieser Syntax finden Sie in der Dokumentation zu LDAP-Verzeichnisservices.

Gibt den LDAP-Filter an, der den Kurznamen eines Benutzers einem LDAP-Eintrag zuordnet.

Gibt das Datensegment an, das bei der Darstellung von Benutzern angezeigt werden soll. Wenn beispielsweise Einträge des Typs object class = inetOrgPerson nach ihren IDs angezeigt werden sollen, müssen Sie inetOrgPerson:uid angeben. In diesem Feld können mehrere Paare aus Objektklassen und Eigenschaften (objectclass:property), jeweils durch ein Semikolon (;) voneinander getrennt, angegeben werden.

Gibt den LDAP-Filter an, der den Kurznamen einer Gruppe einem LDAP-Eintrag zuordnet.

Gibt das Datensegment an, das bei der Darstellung von Gruppen angezeigt werden soll. Geben Sie z. B. *:cn an, um Gruppen nach ihren Namen anzuzeigen. Das Zeichen * ist ein Platzhalterzeichen, mit dem nach allen Objektklassen in dieser Schreibweise gesucht wird. In diesem Feld können mehrere Paare aus Objektklassen und Eigenschaften (objectclass:property), jeweils durch ein Semikolon (;) voneinander getrennt, angegeben werden.

Gibt den LDAP-Filter für die Benutzer/Gruppen-Zugehörigkeiten an.

Für Verzeichnisserverprodukte wie SecureWay und Domino können in diesem Feld mehrere Paare vom Typ "Objektklasse:Eigenschaft" angegeben werden. Die Angaben müssen durch ein Semikolon voneinander getrennt werden. Im objectclass:property-Paar ist die Objektklasse (objectclass) dieselbe Objektklasse, die im Gruppenfilter definiert ist, und die Eigenschaft (property) gibt das Memberattribut an. Stimmt die Objektklasse nicht mit der Objektklasse im Gruppenfilter überein, kann die Berechtigung fehlschlagen, wenn Gruppen Sicherheitsrollen zugeordnet sind. Weitere Informationen zu dieser Syntax finden Sie in der Dokumentation zum LDAP-Verzeichnisservice.

Für IBM® Directory Server, Sun ONE und Active Directory werden in diesem Feld mehrere Gruppenattribut:Memberattribut-Paare durch Semikolons (;) voneinander getrennt akzeptiert. Diese Wertpaare werden verwendet, um die Gruppenzugehörigkeit eines Benutzers zu ermitteln. Dazu werden alle Gruppenattribute eines bestimmten Benutzers aufgezählt. Das Attributpaar memberof:member wird beispielsweise von Active Directory und ibm-allGroup:member von IBM Directory Server verwendet. Dieses Feld gibt auch an, unter welcher Eigenschaft einer Objektklasse sich die Liste von Membern der Gruppe befindet, die durch die Objektklasse angegeben wird. Informationen zu unterstützten DALDAP-Verzeichnisservern finden Sie unter "Unterstützte Verzeichnisservices".

Gibt an, ob verschachtelte Gruppen rekursiv durchsucht werden sollen.

Gibt den Wert für den Kerberos-Benutzerfilter an. Dieser Wert kann geändert werden, wenn Kerberos als eines der bevorzugten Authentifizierungsverfahren konfiguriert und aktiv ist.

Gibt an, ob X.509-Zertifikate einem LDAP-Verzeichnis mit EXACT_DN oder CERTIFICATE_FILTER zugeordnet werden. Geben Sie CERTIFICATE_FILTER an, wenn Sie den angegebenen Zertifikatfilter für die Zuordnung verwenden möchten.

Gibt die Zertifikatszuordnungseigenschaft für den LDAP-Filter an. Der Filter wird verwendet, um Attribut im Clientzertifikat den Einträgen in der LDAP-Registry zuzuordnen.

Falls zur Laufzeit mehrere LDAP-Einträge der Filterspezifikation entsprechen, schlägt die Authentifizierung fehl, da die Übereinstimmung nicht eindeutig ist. Die Syntax bzw. Struktur dieser Datei ist (&(uid=${SubjectCN})(objectclass=inetOrgPerson)). Die linke Seite der Filterspezifikation ist ein LDAP-Attribut, das von dem Schema abhängig ist, für das Ihr LDAP-Server konfiguriert ist. Die rechte Seite der Filterspezifikation ist eines der allgemeinen Attribute im Clientzertifikat. Die rechte Seite muss mit einem Dollarzeichen ($) und einer linken geschweiften Klammer ({) beginnen und mit einer rechten geschweiften Klammer (}) enden. Die folgenden Zertifikatsattributwerte können auf der rechten Seite der Filterspezifikation verwendet werden, wobei die Beachtung der Groß-/Kleinschreibung der Zeichenfolgen erforderlich ist:

• ${UniqueKey}
• ${PublicKey}
• ${IssuerDN}
• ${Issuer<xx>}

  <xx> wird durch die Zeichen ersetzt, die eine gültige Komponente des definierten Namens des Ausstellers darstellen. Als allgemeinen Namen des Ausstellers könnten Sie beispielsweise ${IssuerCN} verwenden.

• ${NotAfter}
• ${NotBefore}
• ${SerialNumber}
• ${SigAlgName}
• ${SigAlgOID}
• ${SigAlgParams}
• ${SubjectDN}
• ${Subject<xx>}

  <xx> wird durch die Zeichen ersetzt, die eine gültige Komponente des definierten Namens des Subjekts darstellen. Als allgemeinen Subject-Namen könnten Sie beispielsweise ${SubjectCN} verwenden.

• ${Version}

Fehler vermeiden: SANs (Subject Alternative Names) werden (SANs) in Zertifikatsfilterelementen nicht unterstützt.gotcha