OPENLDAP：密码策略重叠，如何分配给特定的OU

Question

我只需要将密码策略设置为特定的OU，它将应用于将在此OU中创建/移动的所有用户。

我在CentOS 7上安装了OPENLDAP 2.4.44，并且以这种方式进行了配置（我使用了本指南：https://ktree.com/blog/OpenLDAP-password-policy-implementatio-on-ubuntu.html：]

Step1。启用策略覆盖，可以通过安装模式来完成。

$ ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/ppolicy.ldif

对于验证，是否完成

[root@TST-LDAP01]# ldapsearch -Q -LLL -Y EXTERNAL -H ldapi:/// -b cn=schema,cn=config dn
dn: cn=schema,cn=config
dn: cn={0}core,cn=schema,cn=config
dn: cn={1}cosine,cn=schema,cn=config
dn: cn={2}nis,cn=schema,cn=config
dn: cn={3}inetorgperson,cn=schema,cn=config
dn: cn={4}ppolicy,cn=schema,cn=config

Step2。我们需要写入所有策略都将以文件名命名的目录：policy_1.ldif

$ vim policies_1.ldif
 dn: ou=Policies,cn=Manager,dc=mydomain,dc=com
 objectClass: top
 objectClass: organizationalUnit
 ou: Policies
 description: Password policy config files

应用于目录：

$ ldapadd -D cn=Manager,dc=mydomain,dc=com -W -f policies_1.ldif

Step3。现在，我们加载处理策略的模块。

$ vim policy_module.ldif
 dn: cn=module{0},cn=config
 changetype: modify
 add: olcModuleLoad
 olcModuleLoad: ppolicy

要应用于目录：

$ ldapadd -Y EXTERNAL -H ldapi:/// -f policy_module.ldif

用于验证，是否已加载模块？

[root@TST-LDAP01]# ldapsearch -Q -LLL -Y EXTERNAL -H ldapi:/// -b cn=module{0},cn=config
dn: cn=module{0},cn=config
objectClass: olcModuleList
cn: module{0}
olcModulePath: /usr/lib64/openldap
olcModuleLoad: {0}syncprov.la
olcModuleLoad: {1}ppolicy

Step4。现在告诉目录在哪里查找策略。

$ vim policy_overlay.ldif
dn: olcOverlay={1}ppolicy,olcDatabase={2}hdb,cn=config
objectClass: olcOverlayConfig
objectClass: olcPPolicyConfig
olcOverlay: {1}ppolicy
olcPPolicyDefault: cn=DefaultPPolicy,ou=Policies,cn=Manager,dc=mydomain,dc=com

应用于目录

$ ldapadd -Y EXTERNAL -H ldapi:/// -f policy_overlay.ldif

用于验证，正在使用叠加层

[root@TST-LDAP01]# ldapsearch -Q -LLL -Y EXTERNAL -H ldapi:/// -b olcDatabase={2}hdb,cn=config
dn: olcDatabase={2}hdb,cn=config
objectClass: olcDatabaseConfig
objectClass: olcHdbConfig
olcDatabase: {2}hdb
olcDbDirectory: /var/lib/ldap
olcSuffix: dc=mydomain,dc=com
olcRootDN: cn=Manager,dc=mydomain,dc=com
olcRootPW: {SSHA}1AMIpQs6xbFa8wYre5rdBGm+fCmTCVXz
olcDbIndex: objectClass eq,pres
olcDbIndex: ou,cn,mail,surname,givenname eq,pres,sub

dn: olcOverlay={0}ppolicy,olcDatabase={2}hdb,cn=config
objectClass: olcOverlayConfig
objectClass: olcPPolicyConfig
olcOverlay: {0}ppolicy
olcPPolicyDefault: cn=DefaultPPolicy,ou=Policies,cn=Manager,dc=mydomain,dc=c
 om

Step5。现在我们可以创建默认策略对象。

$ vim Default_Policies.ldif
dn: cn=DefaultPPolicy,ou=Policies,cn=Manager,dc=mydomain,dc=com
cn: DefaultPPolicy
objectClass: pwdPolicy
objectClass: device
objectClass: top
pwdAttribute: userPassword
pwdMaxAge: 2592000
pwdExpireWarning: 2160000
pwdInHistory: 3
pwdCheckQuality: 1
pwdMinLength: 8
pwdMaxFailure: 3
pwdLockout: TRUE
pwdLockoutDuration: 30
pwdGraceAuthNLimit: 0
pwdFailureCountInterval: 0
pwdMustChange: TRUE
pwdAllowUserChange: TRUE
pwdSafeModify: FALSE

应用于目录

$ ldapadd -D cn=Manager,dc=mydomain,dc=com -W -f Default_Policies.ldif

用于验证

[root@TST-LDAP01]# ldapsearch -Q -LLL -Y EXTERNAL -H ldapi:/// -b cn=DefaultPPolicy,ou=Policies,cn=Manager,dc=mydomain,dc=com
dn: cn=DefaultPPolicy,ou=Policies,cn=Manager,dc=mydomain,dc=com
cn: DefaultPPolicy
objectClass: pwdPolicy
objectClass: device
objectClass: top
pwdAttribute: userPassword
pwdMaxAge: 2592000
pwdExpireWarning: 2160000
pwdInHistory: 3
pwdCheckQuality: 1
pwdMinLength: 8
pwdMaxFailure: 3
pwdLockout: TRUE
pwdLockoutDuration: 30
pwdGraceAuthNLimit: 0
pwdFailureCountInterval: 0
pwdMustChange: TRUE
pwdAllowUserChange: TRUE
pwdSafeModify: FALSE

现在可以仅将Default_Policies设置为ou = ExternalUsers，cn = Manager，dc = mydomain，dc = com并且所有新用户都具有此设置吗？

谢谢马可（Marco）>

我只需要将密码策略设置为特定的OU，它将应用于将在此OU中创建/移动的所有用户。我在CentOS 7上安装了OPENLDAP 2.4.44，并在...

Answer 1

对不起，由于我的声誉得分而无法发表评论，但是在这里回答了类似的问题：https://serverfault.com/questions/830147/openldap-password-policy-for-a-group