第 17 章活动目录验证属性

活动目录验证属性是组织属性。在“服务配置”下活动目录验证属性采用的值将成为活动目录验证模板的默认值。为组织注册服务之后，需要创建服务模板。组织的管理员可以在注册后更改默认值。组织属性不会被组织中的条目所继承。活动目录验证属性包括：

主活动目录服务器

该字段指定 Access Manager 安装过程中指定的主活动目录服务器的主机名和端口号。这是进行活动目录验证时 Access Manager 要联系的首选服务器。格式为：hostname:port。（如果没有端口号，将采用 389.）。

如果在多个域部署 Access Manager，可以按以下格式（如果指定多个条目，条目前面必须带有本地服务器名称）指定 Access Manager 和 Directory Server 的特定实例之间的通信链接：

例如，如果您在不同位置（L1-machine1-IS 和 L2-machine2-IS）部署两个 Access Manager，它们分别与 Directory Server 的不同实例（L1-machine1-DS 和 L2-machine2-DS）进行通信，格式如下：

L1-machine1-IS.example.com|L1-machine1-DS.example.com:389 L2-machine2-IS.example.com|L2-machine2-DS.example.com:389

次活动目录服务器

该字段指定 Access Manager 平台上可用的次活动目录服务器的主机名和端口号。如果主活动目录服务器未响应验证请求，Access Manager 会联系次服务器。如果主服务器恢复正常，Access Manager 将切换回主服务器。格式仍为 hostname:port。如果指定多个条目，条目前面必须带有本地服务器名称。



警告	当验证来自目录服务器的用户，并且目录服务器相对于 Access Manager 处于远程位置时，主活动目录服务器和次活动目录服务器的端口都必须具有相应的值。两个字段可以使用一个 Directory Server 位置的值。

起始用户搜索的 DN

该字段指定节点的 DN，将从该 DN 开始搜索用户。（为了获取较好性能，DN 应当尽可能明确。）默认值是目录树的根。可以接受任何有效的 DN。如果在搜索范围属性中选择 OBJECT，则 DN 应指定配置文件所在级别的上一级。

如果指定多个条目，条目前面必须带有本地服务器名称。格式如下所示：

超级用户绑定的 DN

该字段用于指定用户的 DN，该用户将作为管理员被绑定到“主活动目录服务器和端口”字段中指定的 Directory Server。验证服务需要进行该 DN 绑定，以便基于用户的登录 ID 搜索匹配的用户 DN。默认值为 amldapuser。可以接受任何有效的 DN。

在注销之前，请确保密码正确。因为如果密码不正确，您将被锁定。如果出现这种情况，您可以使用 AMConfig.Properties 文件中的 com.iplanet.authentication.super.user 属性中的超级用户 DN 登录。默认情况下，虽然要使用完整 DN，但使用 amAdmin 帐户可以正常登录。例如：

超级用户绑定的密码

该字段指定在“超级用户绑定的 DN”字段中指定的管理员配置文件的密码。该字段没有默认值。只接受管理员的有效活动目录密码。

超级用户绑定的密码（确认）

用于检索用户配置文件的活动目录属性

在用户进行成功验证后，将检索用户配置文件。该属性的值用于执行搜索。该字段指定要使用的活动目录属性。默认情况下，Access Manager 假定用户条目是由 uid 属性标识的。如果您的 Directory Server 使用的是其他属性（例如 givenname），请在该字段中指明属性名称。



注	用户搜索过滤器将是“搜索过滤器”属性与“用于检索用户配置文件的活动目录属性”的组合。

用于搜索要进行验证的用户的活动目录属性

该字段列出用于为将被验证的用户形成搜索过滤器的属性，并允许用户在用户条目中使用多个属性进行验证。例如，如果该字段被设置成 uid、employeenumber 和 mail，则用户可以使用这些名称中的任意一个来进行验证。

用户搜索过滤器

该字段指定一个属性，用于在“起始用户搜索的 DN”字段中搜索用户。它与“用户条目命名属性”一起起作用。该字段没有默认值。可以接受任何有效的用户条目属性。

搜索范围

该菜单指明 Directory Server 中搜索匹配的用户配置文件时所用的级别号。从起始用户搜索的 DN 属性中指定的节点开始搜索。默认值为 SUBTREE。可以从列表中选择以下选项之一：

OBJECT - 仅搜索指定的节点

ONELEVEL - 搜索指定节点一级及其下面一级

SUBTREE - 搜索指定节点及以下的所有条目



警告	即使子组织处于无效状态，子组织的用户可能也能够登录。要避免这种情况，请确保将“搜索范围”和“基本 DN”设置成用户所属的特定组织。

对活动目录服务器启用 SSL 访问

该选项用于启用 SSL 来访问“主/次活动目录服务器和端口”字段中指定的 Directory Server。默认情况下，不启用该属性，并且不使用 SSL 协议访问 Directory Server。但是，如果启用该属性，您可以绑定到非 SSL 服务器。

如果 LDAP 服务器已启用 SSL (LDAPS)，您必须确保 Access Manager 已配置正确的 SSL 可信任证书，使 AM 可以通过 LDAPS 协议连接到 Directory server。

返回用户 DN 以进行验证

当 Access Manager 目录与为活动目录配置的目录相同时，可以启用该选项。如果启用了该选项，活动目录验证模块将返回 DN，而不是 userId，并且不需要进行搜索。通常情况下，验证模块仅返回 userId，且验证服务搜索本地 Access Manager 活动目录中的用户。如果使用了为外部活动目录配置的目录，则通常不启用该选项。

活动目录服务器检查间隔

该属性用于活动目录服务器故障恢复。它定义了在检验主活动目录服务器是否正在运行之前，线程将“休眠”的分钟数。

用户创建属性列表

当活动目录服务器被配置为外部活动目录服务器时，该属性用于活动目录验证模块。它包含本地和外部 Directory Server 之间的属性映射。该属性具有以下格式：

填充该属性后，将从外部 Directory Server 读取外部属性的值，并将这些值应用到内部 Directory Server 属性。仅当用户配置文件属性（位于核心验证模块中）设置为“动态创建”，并且本地 Directory Server 实例中不存在该用户时，才会在内部属性中设置外部属性的值。新创建的用户将包含内部属性的值（在“用户创建属性列表”中指定），内部属性采用其映射的外部属性的值。

验证级别

各种验证方法都单独设置了验证级别。验证级别值表示信任验证的程度。用户进行验证之后，该值将存储在会话的 SSO 令牌中。当 SSO 令牌传递到用户要访问的应用程序时，应用程序将根据存储的值来确定级别是否足以授予用户访问权限。如果 SSO 令牌中存储的验证级别没有达到必需的最小级别，应用程序将提示用户使用具有较高验证级别的服务再次进行验证。默认值为 0。



注	如果未指定任何验证级别，核心验证属性“默认验证级别”中指定的值将会存储到 SSO 令牌中。有关详细信息，参见默认验证级别。

上一页目录索引下一页
Sun Java System Access Manager 6 2005Q1 管理指南