高级轻量级目录访问协议用户注册表设置

指定搜索用户的用户注册表的 LDAP 用户过滤器。

此选项通常用于指定安全角色到用户的映射，它指定用于在目录服务中查找用户的属性。例如，要基于他们的用户标识查找用户，那么指定 (&(uid=%v)(objectclass=inetOrgPerson))。有关此语法的更多信息，请参阅 LDAP 目录服务文档。

指定搜索组的用户注册表的 LDAP 组过滤器

此选项通常用于指定安全角色到组的映射，它指定用于在目录服务中查找组的属性。有关此语法的更多信息，请参阅 LDAP 目录服务文档。

指定将用户的短名称映射至 LDAP 条目的 LDAP 过滤器。

指定显示用户时表示用户的一段信息。例如，要按用户的标识显示类型为 object class = inetOrgPerson 的条目，请指定 inetOrgPerson:uid。此字段使用由分号（；）定界的多个“对象类:属性”对。

指定用于将组的短名称映射至 LDAP 条目的 LDAP 过滤器。

指定显示组时表示组的一段信息。例如，要按组名显示组，指定 *:cn。在这种情况下，(*) 是搜索任何对象类的通配符。此字段使用由分号（；）定界的多个对象类:属性对。

指定用于标识用户与组的关系的 LDAP 过滤器。

对于目录类型 SecureWay 和 Domino®，此字段使用由分号 (;) 定界的多个“对象类:属性”对。在“对象类:属性”对中，对象类值是组过滤器中定义的对象类，属性是成员属性。如果对象类值与组过滤器中的对象类不匹配，并且组映射至安全角色，那么授权可能会失败。有关此语法的更多信息，请参阅 LDAP 目录服务文档。

对于 IBM® Directory Server、Sun ONE 和 Active Directory，该字段使用由分号 (;) 定界的多个组属性:成员属性对。这些“组属性:成员属性”对通过列举给定用户拥有的所有组属性来查找用户的组成员资格。例如，Active Directory 使用属性对 memberof:member；IBM Directory Server 使用 ibm-allGroup:member。此字段还指定对象类的哪个属性存储该对象类所表示的组的成员列表。要获取受支持的 LDAP 目录服务器，请参阅“受支持的目录服务”。

指定递归嵌套组搜索。

指定 Kerberos 用户过滤器值。当配置了 Kerberos 并且它是一种首选认证机制时，可以修改此值。

指定是使用 EXACT_DN 还是 CERTIFICATE_FILTER 将 X.509 证书映射至 LDAP 目录。指定 CERTIFICATE_FILTER 以使用指定的证书过滤器进行映射。

为 LDAP 过滤器指定过滤器证书映射属性。使用过滤器将客户机证书中的属性映射至 LDAP 注册表中的条目。

如果在运行时有多个 LDAP 条目与过滤器规范匹配，那么认证会失败，因为这会导致模糊匹配。此过滤器的语法或结构为 (&(uid=${SubjectCN})(objectclass=inetOrgPerson))。过滤器规范的左边是 LDAP 属性，此属性依赖于 LDAP 服务器配置使用的模式。过滤器规范的右边是客户机证书的某个公共属性。右边必须以美元符号（$）和左括号（{）开头并以右括号（}）结尾。可以在过滤器规范的右边使用下列证书属性值。字符串的大小写很重要：

• ${UniqueKey}
• ${PublicKey}
• ${IssuerDN}
• ${Issuer<xx>}

  其中 <xx> 将替换为表示发布者专有名称的任何有效部分的字符。例如，可以使用 ${IssuerCN} 来作为发布者的公共名。

• ${NotAfter}
• ${NotBefore}
• ${SerialNumber}
• ${SigAlgName}
• ${SigAlgOID}
• ${SigAlgParams}
• ${SubjectDN}
• ${Subject<xx>}

  其中 <xx> 将替换为表示主体集专有名称的任何有效部分的字符。例如，可以使用 ${SubjectCN} 来作为主题的公共名。

• ${Version}

避免故障： 不支持将主题备用名称 (SAN) 用作证书过滤项。gotcha