DSML 身份識別對映

執行不具憑證的基本認證時，目錄伺服器會使用名為身份識別對映的機制，判斷在接受 DSML 請求時所應使用的連結 DN。此機制會從 HTTP 請求的「授權」標頭中擷取資訊，以判斷用以連結的身份識別。

DSML/HTTP 的預設身份識別對映，由您伺服器配置中的下列項目所指定。

dn: cn=default,cn=HTTP-BASIC,cn=identity mapping,cn=config
objectClass: top
objectClass: nsContainer
objectClass: dsIdentityMapping
cn: default
dsSearchBaseDN: ou=people
dsSearchFilter: (uid=${Authorization})

此配置表示伺服器應使用 HTTP 使用者 ID，做為目錄伺服器尾碼中所儲存之 DN 的 uid 值。例如，若 HTTP 使用者為 bjensen，伺服器就會嘗試使用 DN uid=bjensen,ou=people 執行連結。

為使對映正常運作，您必須完成 dsSearchBaseDN 的值。例如，您可以將 dsSearchBaseDN 的值變更為 ou=people,dc=example,dc=com。接著，若 HTTP 使用者為 bjensen，伺服器就會嘗試使用 DN uid=bjensen,ou=people,dc=example,dc=com 執行連結。

dn: cn=default,cn=HTTP-BASIC,cn=identity mapping,cn=config
objectClass: top
objectClass: nsContainer
objectClass: dsIdentityMapping
cn: default
dsSearchBaseDN: ou=people,dc=example,dc=com
dsSearchFilter: (uid=${Authorization})

在對映項目屬性 dsSearchFilter 內，您可以使用 ${header} 格式的預留位置，其中 header 是 HTTP 標頭的名稱。

以下是 DSML 對映中最常使用的標頭。

${Authorization}

此字串會由「HTTP 授權」標頭中所含的使用者名稱取代。授權標頭中含有使用者名稱及其密碼，但在此預留位置中只有使用者名稱會遭取代。

${From}

此字串會由「HTTP 寄件者」標頭中可能包含的電子郵件位址取代。

${host}

此字串會由 DSML 請求之 URL 的主機名稱與連接埠號取代，此亦即伺服器的主機名稱與連接埠號。

若要讓 DSML 請求執行不同類型的身份識別對映，請為 HTTP 標頭定義新的身份識別對映。

為 HTTP 標頭定義新的身份識別對映

1. 為此協定編輯預設 DSML-over-HTTP 身份識別對映，或建立自訂對映。

   對映項目必須位於 cn=HTTP-BASIC,cn=identity mapping,cn=config 項目下。

   在指令行上使用 ldapmodify 指令增加此項目，如使用 ldapmodify 增加項目中所述。

2. 重新啟動目錄伺服器，使您的新對映生效。

   自訂對映會先進行評估。若沒有成功的自訂對映，則會接著評估預設對映。若所有對映皆無法判斷 DSML 請求的連結 DN，即會禁止並拒絕 DSML 請求 (錯誤 403)。