通常如何通过LDAP管理组

Question

我正在为应用程序添加LDAP支持，目的是还支持授权组，而不仅仅是用户。我们目前没有使用任何LDAP系统，也没有使用Active Directory。因此，为了开发测试应用程序，我使用了Osixia OpenLdap服务器（Docker映像）。

此服务器工作正常，我可以轻松创建（并从应用程序进行身份验证）单个用户，但是总体框架看起来“太通用”，无法理解组管理的工作方式。可以通过多种方式来实现组，例如

• 创建新的对象类并将其分配给用户。这行得通，但是应该如何命名这些类，通常，这是通常的方法吗？
• 使用类似于cn.group.dc.dc的层次结构在树中分配用户。对于像“管理员”这样的用户来说，这比可能会随着时间的推移而改变角色的真实人更有效。
• 使用某些属性（哪个？）来设置组名。确实有各种各样的属性，我很难理解，应该在这里使用。带有多个属性的类似乎针对非常特定的情况，范围从bootableDevice到zarafaUser，缺少诸如通用“授权组”之类的东西，或者我忽略了。

我们希望以通常使用的方式实现组，以使与现有LDAP服务器的集成成为可能。我附加了用于测试的服务器的管理屏幕。对于通常的类似于Linux的“有用户，他们属于组”，这看起来实在太多了。