第 12 章執行通過驗證

通過驗證 (PTA) 是一種機制，目錄伺服器可藉此機制參閱另一個目錄伺服器以驗證連結要求。PTA 外掛程式提供此項功能；允許目錄伺服器接受不是儲存在其本機尾碼中之項目的簡單連結作業（以密碼為基礎）。

Directory Server 使用 PTA 可允許您在 Directory Server 的不同實例上，管理自己的使用者和配置目錄。


備註	當您為使用者目錄與配置目錄使用相同的伺服器時，PTA 外掛程式未列在 Directory Server Console 中，您可以建立它以使用通過驗證。

目錄伺服器使用 PTA 的方法

如果您在 Directory Server 的單獨實例上安裝配置目錄和使用者目錄，安裝程式會自動設定 PTA 以允許「配置管理員」使用者 (通常為 admin) 執行管理任務。

在這種情況下，PTA 是必要的，因為 admin 使用者項目會儲存在配置目錄的 o=NetscapeRoot 之下。因此，嘗試要連結使用者目錄作為 admin 通常會失敗。PTA 允許使用者目錄將認證傳遞給用來驗證使用者目錄的配置目錄。然後使用者目錄會允許 admin 使用者進行連結。

將此範例中的使用者目錄當作 PTA 伺服器使用，也就是將連結要求傳遞至另一個目錄伺服器的伺服器。將配置目錄會當作驗證伺服器使用，也就是包含項目並且驗證要求用戶端之連結認證的伺服器。

您也會在本章中看到 PTA 樹狀子目錄字串的使用。通過驗證樹狀子目錄是不存在於 PTA 伺服器中的樹狀子目錄。當使用者的連結 DN 包含此樹狀子目錄時，系統會將使用者的認證傳送至驗證目錄。

您在主機 configdir.example.com 上，安裝配置目錄伺服器 (驗證目錄)，其包含有通過驗證樹狀子目錄 o=NetscapeRoot。

您在主機 userdir.example.com 上，安裝使用者目錄伺服器 (PTA 伺服器)，其在dc=example,dc=com 尾碼內包含有資料。

在使用者目錄的安裝過程中，系統將提示您提供指向配置目錄的 LDAP URL，例如：

ldap://configdir.example.com/o=NetscapeRoot

安裝程式以您提供的 LDAP URL 配置並啟用使用者目錄內的 PTA 外掛程式。

現在，使用者目錄已配置為 PTA 目錄。它將傳送其 DN 含有 o=NetscapeRoot 的項目的所有連結要求至配置目錄 configdir.example.com。

安裝完成時，admin 使用者即嘗試連結至使用者目錄以開始建立使用者資料。

admin 項目在配置目錄中儲存為 uid=admin, ou=Administrators, ou=TopologyManagement,o=NetscapeRoot。所以，使用者目錄通過如 PTA 外掛程式配置所定義之配置目錄的連結要求。

配置目錄可驗證連結的認證，包括密碼，並傳回確認至使用者目錄。

使用者目錄允許 admin 使用者進行連結。

配置 PTA 外掛程式

PTA 外掛程式配置資訊在 PTA 伺服器中指定為 cn=Pass Through Authentication,cn=plugins,cn=config 項目。

如果您在不同伺服器實例中安裝了使用者和配置目錄，系統會自動將 PTA 外掛程式項目加入使用者目錄配置。如果您在相同的實例上同時安裝了兩個目錄，而且您希望以其他目錄執行通過驗證，則必須先建立外掛程式配置項目。

建立外掛程式配置項目

執行下列指令以建立外掛程式配置項目：

ldapmodify -a -h PTAhost -p port -D "cn=Directory Manager" -w password
dn:cn=Pass Through Authentication,cn=plugins,cn=config
objectClass:top
objectClass:nsSlapdPlugin
objectClass:extensibleObject
cn:Pass Through Authentication
nsslapd-pluginPath:ServerRoot/lib/passthru-plugin.soextension
nsslapd-pluginInitfunc:passthruauth_init
nsslapd-pluginType:preoperation
nsslapd-plugin-depends-on-type:database
nsslapd-pluginId:passthruauth
nsslapd-pluginVersion: 5.2
nsslapd-pluginVendor:Sun Microsystems, Inc.
nsslapd-pluginDescription:pass through authentication plugin
nsslapd-pluginEnabled:on or off
nsslapd-pluginarg0:ldap[s]://authenticatingHost[:port]/PTAsubtree options

其中 ServerRoot 視您的安裝而定，副檔名在 HP-UX 上是 .sl，在所有其他 UNIX 平台上是 .so，在 Windows 上是 .dll。

外掛程式引數指定了識別驗證目錄伺服器的主機名稱、選用的連接埠和 PTA 樹狀子目錄的 LDAP URL。如果沒有指定連接埠，LDAP 預設值為 389、LDAPS 為 636。您也可以設定選用的連線參數，如下列章節所述。如果 PTAhost 已有 PTAsubtree 存在，外掛程式將不會通過連結要求至 authenticatingHost，連結將在本地端處理，而不會通過。

依啟動和停止 Directory Server 所述，重新啟動伺服器。

配置 PTA 以使用安全連線

因為 PTA 外掛程式必須傳送包含密碼的連結認證至驗證目錄，因此我們建議您使用安全連線。若要配置 PTA 目錄以透過 SSL 與驗證目錄進行通訊：

在 PTA 和驗證目錄中配置和啟用 SSL，如第 11 章「管理驗證和加密」所述。

建立或修改 PTA 外掛程式配置，以在 LDAP URL 中使用 LDAPS 和安全連接埠，例如：

ldaps://configdir.example.com:636/o=NetscapeRoot

設定選用連線參數

ldap[s]://host[:port]/subtree [maxconns,maxops,timeout,ldapver,connlife]

參數必須依顯示的順序指定。雖然這些參數為選用，但是如果您要指定其中一個，則您必須全部指定。如果您不希望自訂所有參數，請依下列指定其預設值。請確認 subtree 參數和選用的參數間有空格。

maxconns - PTA 伺服器可同時開放給驗證伺服器的最大連線數目。此參數限制可通過至驗證伺服器的同時連結數量。預設值是 3。

maxops - PTA 目錄伺服器可同時傳送至單一連線中之驗證目錄伺服器的最大連結要求數量。此參數進一步限制同時通過驗證的數量。預設值為 5。

timeout - 您要 PTA 伺服器等待驗證伺服器回應的最大延遲秒數。預設值為 300 秒 (五分鐘)。

ldapver - 您想要 PTA 伺服器連線至驗證伺服器使用的 LDAP 協定版本。LDAPv2 的允許值是 2，LDAPv3 的允許值是 3。預設值是 3。

connlife - 在時間限制的秒數內，PTA 伺服器將重新使用連線至驗證伺服器。如果該時間到期後，用戶端才要求 PTA 樹狀子目錄內的連結，伺服器會關閉 PTA 連線，再開啟新的連線。除非啟動連結要求而且伺服器判定已經超過逾時值，否則伺服器不會關閉連線。如果您不指定此選項，或者如果只有一個驗證伺服器列於 LDAP URL 中，則不會強制執行任何時間限制。如果列示了兩個或以上的主機，則預設為 300 秒 (五分鐘)。

下列 PTA 外掛程式引數的範例增加連線數量至 10，但是降低逾時時間為一分鐘 (60 秒鐘)。所有其他參數的預設值指定如下：

指定多重伺服器和樹狀子目錄

您可以使用多組引數配置 PTA 外掛程式，以指定多重驗證伺服器、多重 PTA 樹狀子目錄或兩者同時指定。每個引數包含一個 LDAP URL，並可能有其自己的連線選項組。

當相同的 PTA 伺服器有多重驗證伺服器時，他們可以作為容錯移轉伺服器。每當 PTA 連線達到逾時限制，外掛程式將依列出的順序建立連線至驗證伺服器。如果所有連線皆逾時，則驗證將失敗。

當已定義多重 PTA 樹狀子目錄，外掛程式將依據連結 DN，通過驗證要求至對應的伺服器。下列範例顯示四個外掛程式引數，定義兩個 PTA 樹狀子目錄，每一個都有驗證的容錯轉移伺服器和伺服器特定的連線參數：

nsslapd-pluginarg0:ldaps://configdir.example.com/o=NetscapeRoot
10,10,60,3,300
nsslapd-pluginarg1:ldaps://configbak.example.com/o=NetscapeRoot
3,5,300,3,300
nsslapd-pluginarg2:ldaps://east.example.com/ou=East,ou=People,
dc=example,dc=com 10.10,300,3,300
nsslapd-pluginarg3:ldaps://eastbak.example.com/ou=East,ou=People,
dc=example,dc=com 3,5,300,3,300

如以下範例所示，也可以用空格分隔主機名稱以指定多重伺服器：

nsslapd-pluginarg0:ldaps://configdir.example.com:636 configbak.example.com:636/o=NetscapeRoot 10,10,60,3,300

修改 PTA 外掛程式配置

您可以在任何時間重新配置 PTA 外掛程式，啟用或停用，或變更驗證主機或 PTA 樹狀子目錄。

編輯 PTA 外掛程式配置項目 (cn=Pass Through Authentication, cn=plugins,cn=config) 以修改 nsslapd-pluginenabled 和 nsslapd-pluginargN 屬性。您可以使用主控台或 ldapmodify 公用程式編輯配置。

例如，下列指令將啟用 PTA 外掛程式和 SSL，以及上述顯示的連線參數。

dn:cn=Pass Through Authentication,cn=plugins,cn=config
changetype:modify
replace:nsslapd-pluginenabled
nsslapd-pluginenabled:on
-
replace:nsslapd-pluginarg0
nsslapd-pluginarg0:ldaps://configdir.example.com:636/
o=NetscapeRoot 10.100.60,3,300
-
replace:nsslapd-pluginarg1
nsslapd-pluginarg1:ldaps://configbak.example.com:636/
o=NetscapeRoot 3,5,300,3,300
^D

依啟動和停止 Directory Server 所述，重新啟動伺服器。

上一頁目錄索引下一頁
Sun Java(TM) System Directory Server 5.2 2005Q1 管理指南