UCS-Handbuch - Univention

7.4 Konfiguration von LDAP-ACLs
• Nicht authentifizierte Endpunkte werden durch anonymous abgedeckt. Dies ermöglicht z.B. den
Zugriff auf ein für eine Authentifizierung notwendiges Attribut nur für die Authenfizierungsphase zu
erlauben, diese aber für angemeldete Benutzer zu verweigern.
• Das Gegenstück zum oben erläuterten anonymous ist users.
• Die Regel self definiert den Zugriff auf eigene Attribute des zugreifenden Objekts. So kann etwa ein
Benutzer- oder Rechner-Objekt seine eigenen Attribute verändern.
• Durch dn kann der Zugriff anhand der DN des zugreifenden Objektes festgelegt werden. Dies kann
durch verschiedene Formen angegeben werden:
– Anhand einer konkreten DN durch dn.base, z.B. durch
by dn.base="uid=database-admin,cn=users,dc=firma,dc=de"
– Anhand eines regelären Ausdrucks, z.B. durch
by dn.regex="cn=.*,cn=dc,cn=computers,dc=firma,dc=de"
• Durch group kann die Berechtigung auf die Mitglieder eine Gruppe festgelegt werden. Dabei muss
zusätzlich die Objektklasse des Gruppenobjekts und das Attribut angegeben werden, dass ein Mit-
glied identifiziert. Unter UCS sieht eine Gruppenberechtigung folgermassen aus:
by group/univentionGroup/uniqueMember="cn=Domain Admins,cn=groups,dc=firma,dc=de"
• Durch peername, sockname und domain lässt sich der Socketdateiname oder die Netzherkunft
des zugreifenden Benutzers definieren. Einige Beispiele:
by sockname="PATH=/var/run/slapd/ldapi"
by peername.ip=127.0.0.1
by domain.subtree=example.com
7.4.4 Definition der Berechtigung auf die Objekte
Jede by-Direktive wird durch die vergebene Berechtigung abgeschlossen. Die Regeln sind hierarchisch
gegliedert, jede folgende Regel erhält dabei alle Privilegien der Vorangehenden.
• none verweigert jeglichen Zugriff.
• disclose verweigert den Zugriff, gibt dabei aber eine Fehlermeldung aus.
• auth beschränkt den Zugriff auf Authentifizierungs- und Autorisierungsanfragen.
• compare beschränkt den Zugriff auf Vergleichsoperationen.
• search beschränkt den Zugriff auf Suchanfragen.
• read erlaubt lesenden Zugriff.
• write erlaubt schreibenden Zugriff.
199