使用代理授权转发请求

有关目录代理服务器中代理授权的信息，请参见《Sun Java System Directory Server Enterprise Edition 6.3 Reference》中的“Directory Proxy Server Configured for Proxy Authorization”。

本部分包含的过程将使用代理授权和代理授权控件来转发请求。

使用代理授权转发请求

1. 将数据源配置为接受版本 1 或版本 2 的代理授权控件。

   例如，将数据源配置为接受版本 1 的代理授权控件。

   $ dpconf set-ldap-data-source-prop -h host -p port data-source-name \ proxied-auth-use-v1:true

   或者，将数据源配置为接受版本 2 的代理授权控件。

   $ dpconf set-ldap-data-source-prop -h host -p port data-source-name \ proxied-auth-use-v1:false

2. 将数据源配置为使用代理授权通过到后端 LDAP 服务器的验证。

   $ dpconf set-ldap-data-source-prop -h host -p port data-source-name \ client-cred-mode:use-proxy-auth

   要将数据源配置为使用只有写入操作权限的代理授权来通过后端 LDAP 服务器的验证，请运行以下命令：

   $ dpconf set-ldap-data-source-prop -h host -p port data-source-name \ client-cred-mode:use-proxy-auth-for-write

   使用代理授权控制执行只写操作时，客户端标识不会转发到 LDAP 服务器以用于读取请求。有关转发无客户端标识的请求的详细信息，请参见转发无客户端标识的请求。

3. 使用目录代理服务器的绑定证书配置数据源。

   $ dpconf set-ldap-data-source-prop -h host -p port data-source-name \ bind-dn:DPS-bind-dn bind-pwd-file:filename

4. 将数据源配置为启用超时。

   $ dpconf set-ldap-data-source-prop -h host -p port data-source-name \ proxied-auth-check-timeout:value

   目录代理服务器使用 getEffectiveRights 命令验证客户端 DN 是否具有代理授权的相关 ACI。结果将缓存在目录代理服务器中，并在 proxied-auth-check-timeout 过期时进行更新。

5. 重新启动目录代理服务器实例以使更改生效（如有必要）。

   有关重新启动目录代理服务器的信息，请参见重新启动目录代理服务器。

当请求包含代理授权控件时使用代理授权转发请求

可使用 DSCC 执行此任务。有关信息，请参见目录服务控制中心界面和 DSCC 联机帮助。

1. 将目录代理服务器配置为接受版本 1 和/或版本 2 的代理授权控件。

   $ dpconf set-server-prop -h host -p port allowed-ldap-controls:proxy-auth-v1 \ allowed-ldap-controls:proxy-auth-v2