AIX 5L LDAP 用户管理

KRB5A:
             program = /usr/lib/security/KRB5A
             options = authonly
             
KRB5ALDAP:
             options = db=LDAP,auth=KRB5A
             

     
KRB5A:
              program = /usr/lib/security/KRB5A
              options = tgt_verify=no
 
KRB5ALDAP:
              options = db=LDAP,auth=KRB5A

 
ktpass – princ host/aixhost.ibmabc.com@ADDOMAIN.ABC.COM –mapuser 
aixhost –pass password –out aixhost.keytab

 
# /usr/krb5/sbin/ktutil
ktutil: rkt aixhost.keytab
ktutil: wkt /etc/krb5/krb5.keytab
ktutil: q

# chuser -R KRB5ALDAP SYSTEM=KRB5ALDAP registry=KRB5ALDAP foo

default:
	...
	SYSTEM = KRB5ALDAP
	registry = KRB5ALDAP
	...

# chuser SYSTEM=compat registry=files <local user>

在对 KRB5ALDAP 机制进行配置之后，用户无法使用他们旧的 unix_auth 模式 LDAP 密码登录到 AIX 5L 操作系统。不过，如果用户使用了 ldap_auth 模式，则可以继续使用相同的密码登录到 AIX 5L 操作系统。这是因为 ldap_auth 使用了 Windows 本身的密码，而 unix_auth 模式则使用了不同的密码。

有关 Active Directory 的注意事项

本部分内容简要地介绍了您在为 AIX 5L 客户端使用 Microsoft Active Directory 作为 LDAP 服务器时可能碰到的一些问题。

在 Active Directory 中支持多个密码
可以看出，Active Directory 在其数据库中为用户提供了四种不同的密码属性：

• userPassword
• unixUserPassword
• msSFU30Password
• unicodePwd

因此，相对于 Active Directory，AIX 5L 操作系统上的密码管理可能是个问题。对于密码管理来说，客户应该使用哪个属性并不确定。AIX 5L LDAP 属性映射功能允许客户对这个方面进行研究，并根据他们的需求对密码管理进行自定义。

AIX 5L 操作系统支持两种身份验证机制：unix_auth 和 ldap_auth。下面是可以用于这些身份验证模式的密码管理策略：

unix_auth 模式身份验证

使用 AIX 5L 身份验证的 unix_auth 模式时，Active Directory 需要加密格式的密码。在进行身份验证时，从 Active Directory 中检索到加密的密码，并将其与用户输入的加密格式的密码进行比较。缺省情况下，在操作 Windows 2000 和 2003 时，AIX 5L 操作系统使用 Active Directory 中的 msSFU30Password 属性，而在操作 Windows 2003 R2 时，则使用 userPassword 属性。

如果要使用不同的密码，那么管理员需要手动修改 /etc/security/ldap/sfu30user.map 文件（或 /etc/security/ldap/sfur2user.map，如果 Active Directory 运行于 Windows 2003 R2 上）。查找以单词 spassword 开头的行，并将该行的第三个字段更改为所需的 Active Directory 密码属性名称。有关更详细的信息，请参阅 AIX 5L 安全指南中的“LDAP Attribute Mapping File Format”。在进行了更改之后，运行 mksecldap 命令以配置 AIX 5L LDAP 客户端。如果已经配置了 AIX 5L 客户端，可以运行 restart-secldapclntd 命令，重新启动 secldapclntd 守护进程以使该更改生效。

在这种身份验证的模式中，AIX 5L 客户端不能使用 unicodePwd 属性，因为它采用的是 unicode 格式，而不是 unix_auth 身份验证模式所需的加密格式。

使用 unix_auth 身份验证模式的缺点是，AIX 5L 和 Windows 系统的密码完全不同。如果用户从 AIX 5L 客户端更改密码，就会出现这种情况。尽管用户可以从 AIX 5L 客户端使用 passwd 命令将他们的密码设置为与 Windows 密码相同的密码，但是当用户在 AIX 5L 操作系统中更改他们的密码时，AIX 5L 客户端不支持自动更改其 Windows 密码。

ldap_auth 身份验证模式

使用 ldap_auth 模式时，AIX 5L 操作系统通过使用用户标识信息和所提供的密码对服务器执行 LDAP 绑定操作，以便对用户进行身份验证。要实现这种类型的基于 Active Directory 服务器的身份验证，必须将 AIX 5L 密码映射为 Active Directory 的 unicodePwd 属性。在将 AIX 5L LDAP 配置为使用 ldap_auth 模式时，mksecldap 会将密码属性映射为 Active Directory 的 unicodePwd 属性。该特性需要 APAR IY91514，如果尚未安装，请参见 Microsoft Active Directory 以手动更改密码映射。

当用户登录到 Windows 系统时，将使用 unicodePwd 属性。通过将 AIX 5 L 密码映射为 unicodePwd，Active Directory 中定义的用户可以使用相同的密码登录到 Windows 系统和 AIX 5L 系统。AIX 5L 操作系统仅支持在 ldap_auth 模式中使用 unicodePwd。这样做还允许用户从 AIX 5L 系统更改密码，该更改将会在 AIX 5L 和 Windows 系统中生效。