Что не так в настройке openldap + phpLDAPadmin при экспорте контактов?

Question

Дмитрий Айткулов @Scarfase1989

Что не так в настройке openldap + phpLDAPadmin при экспорте контактов?

Добрый день! Поставили задачу поднять openldap + phpLDAPadmin. openldap ставил отсюда, а панель от сюда. Все установилось и заработало. Создавались группы и пользователи. Но тут встала задача экспортировать "запись адресной книги" в Vcard. Экспортировал запись без проблем(конец строки windows), но открыв файл я не нашел некоторых атрибутов, таких как телефонные номера, адрес, почтовый индекс

BEGIN:VCARD
FN:Дмитрий Айткулов
ORG:Шериф Авто
UID:cn=Дмитрий Айткулов,ou=it,dc=centos,dc=com
VERSION:2.1
ADR:;;Array;Array;Array;;
END:VCARD

подскажите как решить проблему выгрузки в vcard? Может каких то схем в openldap не хватает? Заранее всем спасибо

Вопрос задан более трёх лет назад
605 просмотров

Комментировать

Подписаться 2 Оценить Комментировать

Решения вопроса 1

9 комментариев

Дмитрий Айткулов @Scarfase1989 Автор вопроса

Добрый день! Вы в настройке olcAccess на openldap не сможете помочь?

Написано более трёх лет назад
Сергей Н @Albibek

Без точной постановки задачи только ссылкой: www.openldap.org/doc/admin24/access-control.html

Написано более трёх лет назад
Дмитрий Айткулов @Scarfase1989 Автор вопроса
olcAccess: {0}to attrs=userPassword,shadowLastChange by dn="cn=Manager,dc=server,dc=world" write by anonymous auth by self write by * none olcAccess: {1}to dn.base="" by * read olcAccess: {2}to * by dn="cn=Manager,dc=server,dc=world" write by * read

вот имеются базовые правила. Мне необходимо чтобы люди из "ou=admins" имели полные права на редактирование всей БД.
Потом как сделать чтобы только некоторые люди могли редактировать только родительский каталог и потомков в нем?!
Просьба ткнуть носом 3 день ковыряюсь сообразить не могу
Написано более трёх лет назад
Сергей Н @Albibek

ACL проверяются сверху вниз. Для каждого совпадения нужно давать полный список доступа, т.е. не забывать "by * read" после "by ктот-там write", если хотите, чтобы у остальных был доступ на чтение.

Примерный LDIF ниже.
Забекапьтесь перед применением, а лучше вообще сделайте где-нибудь на тестовом сервере. Заблаговременно добавьте текущего админа в ou=admins. Предполагаю, что под ou=admins имеется ввиду dn, равный "ou=admins,dc=server,dc=world".
Можете вместо group.exact использовать dn.subtree, если ваши админы "растут" из определённого подкаталога, и вы не хотите включать их в группу.

dn: olcDatabase={нужная вам цифра}hdb,cn=config
changetype: modify
replace: olcAccess
olcAccess: {0}to attrs=userPassword,shadowLastChange by
dn="ou=admins,dc=server,dc=world" write by anonymous auth by self write by * none
olcAccess: {1}to dn.base="" by * read
olcAccess: {2}to dn.subtree="здесь подкаталог" by group.exact="группа для разрешений" write by * read
olcAccess: {3}to * by group.exact="ou=admins,dc=server,dc=world" write by * read

Написано более трёх лет назад
Дмитрий Айткулов @Scarfase1989 Автор вопроса

спасибо, конечно будем все тесть на тестовом серваке, а правила по умолчанию удалить или дописать к ним ваши правила?

Написано более трёх лет назад
Сергей Н @Albibek

Тот LDIF, что я дал, заменяет весь аттрибут olcAccess на нужный. Я изменял тот, что дали вы. Замену лучше делать, т.к. важен порядок следования ACL.

Написано более трёх лет назад
Дмитрий Айткулов @Scarfase1989 Автор вопроса

Спасибо все получилось как надо, осталось разобратся в последнем вопросе а как сделать чтобы "uid=user,ou=users,dc=server,dc=com" имел права на "ou=test,dc=server,dc=com" и не имел больше доступа ни к чему

Написано более трёх лет назад
Сергей Н @Albibek

Мы говорим уже про сервер, подключённый к каталогу? Если да, то без изменения схемы только локальными средствами. Например, pam_access.

Если мы говорим про ACL OpenLDAP, то
oldAccess: to "ou=test,dc=server,dc=com" by dn.exact="uid=user,ou=users,dc=server,dc=com" write by * read

Написано более трёх лет назад
Дмитрий Айткулов @Scarfase1989 Автор вопроса

спасибо благодаря вашим советам более менее разобрался в теме

Написано более трёх лет назад

Пригласить эксперта

Ваш ответ на вопрос

Войдите, чтобы написать ответ

Войти через центр авторизации

Похожие вопросы

Linux

+1 ещё

Простой
Как сделать автоматическую проверку работоспособности и рестарт Apache и Mariadb в случае падения?
- 1 подписчик
- вчера
- 94 просмотра
2

ответа
Docker

+2 ещё

Простой
Как подружить Zabbix-agent 2 и zabbix-server?
- 1 подписчик
- вчера
- 83 просмотра
3

ответа
Windows

+1 ещё

Средний
Как открыть экранную клавиатуру в режиме киоска?
- 1 подписчик
- 15 апр.
- 144 просмотра
1

ответ
Системное администрирование

+1 ещё

Простой
Какое можно использовать клиент-серверное приложение видеоконференции p2p?
- 1 подписчик
- 15 апр.
- 62 просмотра
1

ответ
Системное администрирование

+1 ещё

Простой
На каком виртуальном сервере процессор мощнее?
- 1 подписчик
- 14 апр.
- 184 просмотра
2

ответа
PHP

+2 ещё

Простой
Как подключиться из PHP к memcached с использованием socket?
- 1 подписчик
- 14 апр.
- 86 просмотров
2

ответа
Windows

+1 ещё

Простой
Как настроить Windows под гостевой компьютер общего пользования?
- 3 подписчика
- 12 апр.
- 915 просмотров
5

ответов
Системное администрирование

+1 ещё

Простой
Есть централизованный Касперский, как блокировать определенные приложения?
- 1 подписчик
- 12 апр.
- 114 просмотров
3

ответа
Системное администрирование

+1 ещё

Средний
Как называется плата которая ставится между карт ридером и смарт картой, для логирования данных?
- 1 подписчик
- 11 апр.
- 114 просмотров
1

ответ
Системное администрирование

Простой
Заразятся ли 2 раздела диска если на один из разделов попадёт вирус?
- 1 подписчик
- 11 апр.
- 135 просмотров
4

ответа
Показать ещё Загружается…

Инженер по системному администрированию

Деловая среда от Сбербанка • Москва

До 209 000 ₽

Системный администратор (инженер) 🚀

Хабр • Москва

от 140 000 ₽

Системный администратор

Глобал Смарт Системс • Санкт-Петербург

от 100 000 до 120 000 ₽

Взлом автомобильной программы

19 апр. 2024, в 05:01

999999 руб./за проект

Доработать телеграм бота

19 апр. 2024, в 03:52

1000 руб./за проект

Написать код на python

19 апр. 2024, в 03:01

1000 руб./за проект

Answer 1 · 2015-06-11 14:16:04

Протокол LDAP не позволяет вносить аттрибуты, которые не прописаны в схеме. Поэтому вы либо не указываете нужные аттрибуты при запросе, либо не внесли эти аттрибуты при импорте.
Для начала убедитесь, есть ли нужные вам аттрибуты в каталоге.
Экспортируйте, например в LDIF и поглядите.
Если аттрибуты есть, то предполагаю, что phpldapadmin берёт для конвертирования не те, в которых вы храните соответствующие данные. Если это так, то вам придётся либо перенести данные в нужные аттрибуты(не скажу, какие, надо копать код phpldapadmin), либо изменить конфигурацию OpenLDAP, настроив overlay(man slapo-rwm), либо написать свой собственный конвертер в VCARD.

Что не так в настройке openldap + phpLDAPadmin при экспорте контактов?

Войдите, чтобы написать ответ

Минуточку внимания

Войдите на сайт