Openldap ppolicy 覆盖不起作用
Openldap ppolicy overlay is not working
我一直在尝试配置 openldap 以使用 ppolicy overlay，但在网上找到的所有程序均无效。我尝试了论坛中讨论的数十个问题，但无济于事。因此，如果有人可以检查我的配置并解决问题，我将不胜感激。
我在 debian jessie 上使用 olc (cn=config) 配置。 Openldap 版本为 2.4.40
这里是 -b cn=config 的 ldapsearch 排除了（核心、余弦、inetorgperson 和 ppolicy）的模式内容
# extended LDIF
#
# LDAPv3
# base <cn=config> with scope subtree
# filter: (objectclass=*)
# requesting: ALL
#
# config
dn: cn=config
objectClass: olcGlobal
cn: config
olcArgsFile: /var/run/slapd/slapd.args
olcLogLevel: none
olcPidFile: /var/run/slapd/slapd.pid
olcToolThreads: 1
# module{0}, config
dn: cn=module{0},cn=config
objectClass: olcModuleList
cn: module{0}
olcModulePath: /usr/lib/ldap
olcModuleLoad: {0}back_mdb
olcModuleLoad: {1}ppolicy.la
# {0}mdb, config
dn: olcBackend={0}mdb,cn=config
objectClass: olcBackendConfig
olcBackend: {0}mdb
# {-1}frontend, config
dn: olcDatabase={-1}frontend,cn=config
objectClass: olcDatabaseConfig
objectClass: olcFrontendConfig
olcDatabase: {-1}frontend
olcAccess: {0}to * by
dn.exact=gidNumber=0+uidNumber=0,cn=peercred,cn=external
,cn=auth manage by * break
olcAccess: {1}to dn.exact="" by * read
olcAccess: {2}to dn.base="cn=Subschema" by * read olcSizeLimit: 500
# {0}config, config
dn: olcDatabase={0}config,cn=config
objectClass: olcDatabaseConfig
olcDatabase: {0}config
olcAccess: {0}to * by
dn.exact=gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth manage
by * break
olcRootDN: cn=admin,cn=config
olcRootPW: {SHA}5en6G6MezRroT3XKqkdPOmY/BfQ=
# {1}mdb, config
dn: olcDatabase={1}mdb,cn=config
objectClass: olcDatabaseConfig
objectClass: olcMdbConfig
olcDatabase: {1}mdb
olcDbDirectory: /var/lib/ldap
olcSuffix: dc=home,dc=me
olcAccess: {0}to attrs=userPassword,shadowLastChange by self write by
anonymous auth by * none
olcAccess: {1}to attrs=loginShell,gecos by dn="cn=admin,dc=home,dc=me"
write b y self write by * read
olcAccess: {2}to dn.sub="ou=people,dc=home,dc=me" by
dn="cn=boss,ou=people,dc=home,dc=me" write by self write by * read
olcAccess: {3}to dn.base="" by * read
olcAccess: {4}to * by * read
olcLastMod: TRUE
olcRootDN: cn=admin,dc=home,dc=me
olcRootPW: {SSHA}mVopmqq0XwfC7WVwqlOnJgx5ouKNNAoQ
olcDbCheckpoint: 512 30
olcDbIndex: objectClass eq
olcDbIndex: cn,uid eq
olcDbIndex: uidNumber,gidNumber eq
olcDbIndex: member,memberUid eq
olcDbMaxSize: 1073741824
# {0}ppolicy, {1}mdb, config
dn: olcOverlay={0}ppolicy,olcDatabase={1}mdb,cn=config
objectClass: olcOverlayConfig
objectClass: olcPPolicyConfig
olcOverlay: {0}ppolicy
olcPPolicyDefault: cn=passwordDefault,ou=policies,dc=home,dc=me
olcPPolicyHashCleartext: TRUE
olcPPolicyUseLockout: FALSE
olcPPolicyForwardUpdates: FALSE
# search result
search: 2
result: 0 Success
# numResponses: 14
# numEntries: 13
这是 -b dc=home,dc=me
的 ldapsearch
# extended LDIF
#
# LDAPv3
# base <dc=home,dc=me> (default) with scope subtree
# filter: (objectclass=*)
# requesting: ALL
#
# home.me
dn: dc=home,dc=me
objectClass: top
objectClass: dcObject
objectClass: organization
o: home.me
dc: home
# admin, home.me
dn: cn=admin,dc=home,dc=me
objectClass: simpleSecurityObject
objectClass: organizationalRole
cn: admin
description: LDAP administrator
# people, home.me
dn: ou=people,dc=home,dc=me
ou: people
objectClass: organizationalUnit
# boss, people, home.me
dn: cn=boss,ou=people,dc=home,dc=me
cn: boss
objectClass: simpleSecurityObject
objectClass: organizationalRole
# policies, home.me
dn: ou=policies,dc=home,dc=me
ou: policies
objectClass: organizationalUnit
# passwordDefault, policies, home.me
dn: cn=passwordDefault,ou=policies,dc=home,dc=me
objectClass: pwdPolicy
objectClass: person
objectClass: top
cn: passwordDefault
sn: passwordDefault
pwdAttribute: userPassword
pwdCheckQuality: 0
pwdMinAge: 0
pwdMaxAge: 0
pwdMinLength: 8
pwdInHistory: 5
pwdMaxFailure: 3
pwdFailureCountInterval: 0
pwdLockout: FALSE
pwdLockoutDuration: 0
pwdAllowUserChange: TRUE
pwdExpireWarning: 0
pwdGraceAuthNLimit: 0
pwdMustChange: TRUE
pwdSafeModify: FALSE
# test, people, home.me
dn: uid=test,ou=people,dc=home,dc=me
uid: test
objectClass: account
objectClass: posixAccount
cn: test
uidNumber: 1020
gidNumber: 1020
homeDirectory: /home/test
loginShell: /bin/bash
# search result
search: 2
result: 0 Success
# numResponses: 8
# numEntries: 7
当我创建用户测试时，none 的默认密码策略属性附加到它。即使我在用户测试中添加了pwdReset，我也没有在第一次登录后强制更改密码，我只是被拒绝登录。
我在 Ubuntu、Debian 和 CentOS 上尝试了这些配置，其中 none 有效。请帮忙！
！！编辑!!
在我向新创建的用户添加 pwdpolicysubentry 并向他们发送 pwdReset 后，用户登录被拒绝，这是 journalctl 中显示的内容
[5e18f8] <authc="poor"> ldap_result() failed: Insufficient access: Operations are restricted
to bind/unbind/abandon/StartTLS/modify password
Feb 13 19:17:47 debian-jessie nslcd[614]: [5e18f8] <authc="poor">
uid=poor,ou=people,dc=home,dc=me: Insufficient access
Feb 13 19:17:47 debian-jessie nslcd[614]: [5e18f8] <authc="poor">
uid=poor,ou=people,dc=home,dc=me: Password must be changed
Feb 13 19:17:47 debian-jessie sshd[2496]: pam_ldap(sshd:auth):
Authentication failure; user=poor
所以，它有效但无法让用户更改密码 himself/herself。我想我已经很接近让它正常工作了，希望有人能帮助我做到这一点。
这有几个可能的原因，但最明显的是您可能已登录为 OpenLDAP 管理员帐户，这会绕过所有覆盖。您需要在 DIT 中创建一个具有适当权限的管理员或应用程序帐户，并以该用户身份执行所有进一步的管理员更新。您也需要以这种方式删除并重新添加此测试用户。
Manager 帐户用于 OpenLDAP 本身，不适用于应用程序或其他用户。不要使用它。
注意：您需要使用密码策略请求控件来了解重置、所需的密码更改、宽限登录、质量或历史失败等。
不幸的是，没有直接的方法可以使 密码策略覆盖 满足我的要求，其中一个是强制用户在第一次更改 his/her 密码登录。
但是，现在，我可以通过将 ppolicy 叠加层与 shadowAccount 对象 [= =41=] 使用其 shadowLastChange 属性并使其等于零（shadowAccount 对象 class 和 shadowLastChange 属性已添加到用户帐户）。 ppolicy 将处理其余部分。 （我自己尝试了 shadowAccount 但没有用）。
如果我可以说，这个变通办法只适用于 Debian。甚至 CentOS 客户端系统也不遵守 Debian 上 LDAP 服务器强制执行的政策。 Debian 和 Ubuntu 客户工作。
pwdReset 属性：此属性确实锁定帐户并要求更改密码，但只能通过命令 ldappasswd 完成，而不是在登录。此属性的值覆盖 pwdMustChange.
的设置
我一直在尝试配置 openldap 以使用 ppolicy overlay，但在网上找到的所有程序均无效。我尝试了论坛中讨论的数十个问题，但无济于事。因此，如果有人可以检查我的配置并解决问题，我将不胜感激。
我在 debian jessie 上使用 olc (cn=config) 配置。 Openldap 版本为 2.4.40
这里是 -b cn=config 的 ldapsearch 排除了（核心、余弦、inetorgperson 和 ppolicy）的模式内容
# extended LDIF
#
# LDAPv3
# base <cn=config> with scope subtree
# filter: (objectclass=*)
# requesting: ALL
#
# config
dn: cn=config
objectClass: olcGlobal
cn: config
olcArgsFile: /var/run/slapd/slapd.args
olcLogLevel: none
olcPidFile: /var/run/slapd/slapd.pid
olcToolThreads: 1
# module{0}, config
dn: cn=module{0},cn=config
objectClass: olcModuleList
cn: module{0}
olcModulePath: /usr/lib/ldap
olcModuleLoad: {0}back_mdb
olcModuleLoad: {1}ppolicy.la
# {0}mdb, config
dn: olcBackend={0}mdb,cn=config
objectClass: olcBackendConfig
olcBackend: {0}mdb
# {-1}frontend, config
dn: olcDatabase={-1}frontend,cn=config
objectClass: olcDatabaseConfig
objectClass: olcFrontendConfig
olcDatabase: {-1}frontend
olcAccess: {0}to * by
dn.exact=gidNumber=0+uidNumber=0,cn=peercred,cn=external
,cn=auth manage by * break
olcAccess: {1}to dn.exact="" by * read
olcAccess: {2}to dn.base="cn=Subschema" by * read olcSizeLimit: 500
# {0}config, config
dn: olcDatabase={0}config,cn=config
objectClass: olcDatabaseConfig
olcDatabase: {0}config
olcAccess: {0}to * by
dn.exact=gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth manage
by * break
olcRootDN: cn=admin,cn=config
olcRootPW: {SHA}5en6G6MezRroT3XKqkdPOmY/BfQ=
# {1}mdb, config
dn: olcDatabase={1}mdb,cn=config
objectClass: olcDatabaseConfig
objectClass: olcMdbConfig
olcDatabase: {1}mdb
olcDbDirectory: /var/lib/ldap
olcSuffix: dc=home,dc=me
olcAccess: {0}to attrs=userPassword,shadowLastChange by self write by
anonymous auth by * none
olcAccess: {1}to attrs=loginShell,gecos by dn="cn=admin,dc=home,dc=me"
write b y self write by * read
olcAccess: {2}to dn.sub="ou=people,dc=home,dc=me" by
dn="cn=boss,ou=people,dc=home,dc=me" write by self write by * read
olcAccess: {3}to dn.base="" by * read
olcAccess: {4}to * by * read
olcLastMod: TRUE
olcRootDN: cn=admin,dc=home,dc=me
olcRootPW: {SSHA}mVopmqq0XwfC7WVwqlOnJgx5ouKNNAoQ
olcDbCheckpoint: 512 30
olcDbIndex: objectClass eq
olcDbIndex: cn,uid eq
olcDbIndex: uidNumber,gidNumber eq
olcDbIndex: member,memberUid eq
olcDbMaxSize: 1073741824
# {0}ppolicy, {1}mdb, config
dn: olcOverlay={0}ppolicy,olcDatabase={1}mdb,cn=config
objectClass: olcOverlayConfig
objectClass: olcPPolicyConfig
olcOverlay: {0}ppolicy
olcPPolicyDefault: cn=passwordDefault,ou=policies,dc=home,dc=me
olcPPolicyHashCleartext: TRUE
olcPPolicyUseLockout: FALSE
olcPPolicyForwardUpdates: FALSE
# search result
search: 2
result: 0 Success
# numResponses: 14
# numEntries: 13
这是 -b dc=home,dc=me
的 ldapsearch# extended LDIF
#
# LDAPv3
# base <dc=home,dc=me> (default) with scope subtree
# filter: (objectclass=*)
# requesting: ALL
#
# home.me
dn: dc=home,dc=me
objectClass: top
objectClass: dcObject
objectClass: organization
o: home.me
dc: home
# admin, home.me
dn: cn=admin,dc=home,dc=me
objectClass: simpleSecurityObject
objectClass: organizationalRole
cn: admin
description: LDAP administrator
# people, home.me
dn: ou=people,dc=home,dc=me
ou: people
objectClass: organizationalUnit
# boss, people, home.me
dn: cn=boss,ou=people,dc=home,dc=me
cn: boss
objectClass: simpleSecurityObject
objectClass: organizationalRole
# policies, home.me
dn: ou=policies,dc=home,dc=me
ou: policies
objectClass: organizationalUnit
# passwordDefault, policies, home.me
dn: cn=passwordDefault,ou=policies,dc=home,dc=me
objectClass: pwdPolicy
objectClass: person
objectClass: top
cn: passwordDefault
sn: passwordDefault
pwdAttribute: userPassword
pwdCheckQuality: 0
pwdMinAge: 0
pwdMaxAge: 0
pwdMinLength: 8
pwdInHistory: 5
pwdMaxFailure: 3
pwdFailureCountInterval: 0
pwdLockout: FALSE
pwdLockoutDuration: 0
pwdAllowUserChange: TRUE
pwdExpireWarning: 0
pwdGraceAuthNLimit: 0
pwdMustChange: TRUE
pwdSafeModify: FALSE
# test, people, home.me
dn: uid=test,ou=people,dc=home,dc=me
uid: test
objectClass: account
objectClass: posixAccount
cn: test
uidNumber: 1020
gidNumber: 1020
homeDirectory: /home/test
loginShell: /bin/bash
# search result
search: 2
result: 0 Success
# numResponses: 8
# numEntries: 7
当我创建用户测试时，none 的默认密码策略属性附加到它。即使我在用户测试中添加了pwdReset，我也没有在第一次登录后强制更改密码，我只是被拒绝登录。
我在 Ubuntu、Debian 和 CentOS 上尝试了这些配置，其中 none 有效。请帮忙！
！！编辑!!
在我向新创建的用户添加 pwdpolicysubentry 并向他们发送 pwdReset 后，用户登录被拒绝，这是 journalctl 中显示的内容
[5e18f8] <authc="poor"> ldap_result() failed: Insufficient access: Operations are restricted
to bind/unbind/abandon/StartTLS/modify password
Feb 13 19:17:47 debian-jessie nslcd[614]: [5e18f8] <authc="poor">
uid=poor,ou=people,dc=home,dc=me: Insufficient access
Feb 13 19:17:47 debian-jessie nslcd[614]: [5e18f8] <authc="poor">
uid=poor,ou=people,dc=home,dc=me: Password must be changed
Feb 13 19:17:47 debian-jessie sshd[2496]: pam_ldap(sshd:auth):
Authentication failure; user=poor
所以，它有效但无法让用户更改密码 himself/herself。我想我已经很接近让它正常工作了，希望有人能帮助我做到这一点。
这有几个可能的原因，但最明显的是您可能已登录为 OpenLDAP 管理员帐户，这会绕过所有覆盖。您需要在 DIT 中创建一个具有适当权限的管理员或应用程序帐户，并以该用户身份执行所有进一步的管理员更新。您也需要以这种方式删除并重新添加此测试用户。
Manager 帐户用于 OpenLDAP 本身，不适用于应用程序或其他用户。不要使用它。
注意：您需要使用密码策略请求控件来了解重置、所需的密码更改、宽限登录、质量或历史失败等。
不幸的是，没有直接的方法可以使 密码策略覆盖 满足我的要求，其中一个是强制用户在第一次更改 his/her 密码登录。
但是，现在，我可以通过将 ppolicy 叠加层与 shadowAccount 对象 [= =41=] 使用其 shadowLastChange 属性并使其等于零（shadowAccount 对象 class 和 shadowLastChange 属性已添加到用户帐户）。 ppolicy 将处理其余部分。 （我自己尝试了 shadowAccount 但没有用）。
如果我可以说，这个变通办法只适用于 Debian。甚至 CentOS 客户端系统也不遵守 Debian 上 LDAP 服务器强制执行的政策。 Debian 和 Ubuntu 客户工作。
pwdReset 属性：此属性确实锁定帐户并要求更改密码，但只能通过命令 ldappasswd 完成，而不是在登录。此属性的值覆盖 pwdMustChange.