Дополнительные параметры реестра пользователей Lightweight Directory Access Protocol (LDAP)

Фильтр LDAP, используемый при поиске пользователей в реестре.

Эта опция обычно применяется при присвоении ролей защиты пользователям и задает свойство, по которому пользователи ищутся в службе каталогов. Например, для поиска пользователей по их ИД укажите (&(uid=%v)(objectclass=inetOrgPerson)). За дополнительной информацией по синтаксису обратитесь к документации службы каталогов LDAP.

Фильтр LDAP, используемый при поиске групп в реестре.

Эта опция обычно применяется при присвоении ролей защиты группам и задает свойство, по которому группы ищутся в службе каталогов. За дополнительной информацией по синтаксису обратитесь к документации службы каталогов LDAP.

Фильтр LDAP, применяемый для преобразования краткого имени пользователя в запись LDAP.

Задает параметры для показа части информации о пользователях. Например, чтобы показать записи вида object class = inetOrgPerson по ИД, укажите inetOrgPerson:uid. В этом поле можно указывать несколько пар objectclass:property, разделенных с помощью точки с запятой (;).

Фильтр LDAP, применяемый для преобразования краткого имени группы в запись LDAP.

Задает параметры для показа части информации о группах. Например, для показа групп по именам укажите *:cn. Звездочка (*) используется как символ подстановки при поиска любого объекта данного класса. В этом поле можно указывать несколько пар objectclass:property, разделенных с помощью точки с запятой (;).

Фильтр LDAP, задающий взаимосвязи пользователей и групп.

Для каталогов SecureWay и Domino в этом поле указывается несколько пар objectclass:property через точку с запятой(;). В паре objectclass:property класс объекта совпадает с классом, определенным в фильтре группы, а свойство - это атрибут участника. Если значение класса объекта не совпадает с указанным в фильтре группы, то для групп, связанных с ролями защиты, авторизация может быть не выполнена. За дополнительной информацией по синтаксису обратитесь к документации службы каталогов LDAP.

Для IBM® Directory Server, Sun ONE и Active Directory в этом поле указывается несколько пар group attribute:member attribute через точку с запятой (;). Эти пары позволяют найти участников группы, для которых заданы соответствующие атрибуты группы. Например, пара атрибутов memberof:member используется в Active Directory, а пара ibm-allGroup:member - в IBM Directory Server. В этом поле также указывается, в каком свойстве класса объектов сохраняется список участников группы, представленный этим классом объектов. Поддерживаемые типы серверов LDAP описаны в разделе "Поддерживаемые службы каталогов".

Указывает на необходимость рекурсивного поиска во вложенных группах.

Задает значение для пользовательского фильтра Kerberos. Это значение можно изменить во время настройки Kerberos; оно активно как один из предпочитаемых механизмов идентификации.

Указывает, нужно ли преобразовывать сертификаты X.509 в каталог LDAP с помощью EXACT_DN или CERTIFICATE_FILTER. Укажите CERTIFICATE_FILTER, чтобы связывать с помощью выбранного фильтра сертификатов.

Задает свойство преобразования фильтра сертификатов для фильтра LDAP. Фильтр используется для преобразования атрибутов в сертификате клиента к записям реестра LDAP.

Если во время выполнения несколько записей LDAP удовлетворяют условиям фильтра, идентификации не выполняется из-за неоднозначности результата. Синтаксис этого фильтра следующий: (&(uid=${SubjectCN})(objectclass=inetOrgPerson)). В левой части спецификации фильтра находится атрибут LDAP, который зависит от настроенной схемы сервера LDAP. В правой части спецификации фильтра находится один из открытых атрибутов сертификата клиента. Правая часть должна начинаться со знака доллара ($) и открывающей фигурной скобки ({), а заканчиваться закрывающей фигурной скобкой (}). Можно использовать следующие значения атрибута сертификата в правой части спецификации фильтра. Регистр учитывается:

• ${UniqueKey}
• ${PublicKey}
• ${IssuerDN}
• ${Issuer<xx>}

  где <xx> необходимо заменить символами, представляющими любой допустимый компонент отличительного имени организации, выдавшей сертификат. Например, в качестве отличительного имени можно указать ${IssuerCN}.

• ${NotAfter}
• ${NotBefore}
• ${SerialNumber}
• ${SigAlgName}
• ${SigAlgOID}
• ${SigAlgParams}
• ${SubjectDN}
• ${Subject<xx>}

  где <xx> необходимо заменить символами, представляющими любой допустимый компонент отличительного имени субъекта. Например, в качестве отличительного имени субъекта можно указать ${SubjectCN}.

• ${Version}

Предотвращение неполадок: Использование SAN в качестве элементов фильтра сертификатов не поддерживаются.gotcha