可以控制一个人可以加入LDAP的哪些组吗？

Question

我正在使用OpenLDAP在其中存储用户数据。
有一个工作组（类型为groupOfNames），由组Admins（类型为groupOfNames）和PowerUsers（类型为GroupOfNames）组成。我可以将用户Bob分配给Admins和PowerUsers。

如果鲍勃已经在管理员组中（反之亦然），是否有任何方法可以限制将鲍勃添加到PowerUsers中？

Answer 1

在OpenLDAP中（不包括开发自定义代码来改变OpenLDAP的工作方式），您不能添加此类控件。

这种类型的工作流程显然属于“管理身份”范围，因此应由您的IDM解决方案来处理。

OpenLDAP只是用于存储您在IDM解决方案中表示的内容的解决方案。

在“ IAM”堆栈中，您有[IDM]-> [DS]-> [AM]表示：

• IDentity Management：在这里，您将了解如何创建用户，角色，组，组织等。
• 目录服务（此处为OpenLDAP）：在这里存储您在IDM中创建的内容以传递数据
• 访问管理：在这里，您将DS用作后端进行身份验证，检查授权等