AIX 5L LDAP 用户管理

memberUid 和 msSFU30MemeberUid 属性接受用户帐户名，而 msSFU30PosixMember 仅接受完整的 DN。例如，对于用户帐户 foo（其名字为 bar），它在 Active Directory 中的定义如下：

• memberUid:foo
• msSFU30MemberUid:foo
• msSFU30PosixMember:cn=foo bar,cn=users,dc=ADdomain,dc=abc,dc=com

可以对 AIX 5L LDAP 客户端进行配置，以使用这些属性。您可以与 Active Directory 管理员讨论，以确定使用哪些属性。建议使用 memberUid 或 msSFU30MemberUid 代替 msSFU30PosixMember，因为前者将节省存储空间和网络流量，并具有更好的性能。在缺省情况下，mksecldap 对 AIX 5L LDAP 客户端进行配置以便对运行于 Windows 2000 和 2003 的 Active Directory 使用 msSFU30PosixMember 属性，对运行于 Windows 2003 R2 的 Active Directory 使用 memberUid 属性。这种选择是因为 Active Directory 的行为，当在 Windows 中将用户添加到组中时，它会选择相应的属性。您的组织策略可能需要使用非缺省的组成员属性以支持多种平台。

与密码中的情况一样，AIX 5L 管理员可以对 LDAP 客户端进行配置，以使用不同的组成员属性。通过手动编辑组映射文件，您可以更改映射。对于运行于 Windows 2000 和 2003 的 Active Directory，组映射文件为 /etc/security/ldap/sfu30group.map；对于运行于 Windows 2003 R2 的 Active Directory，组映射文件为 /etc/security/ldap/sfur2group.map。查找以单词“users”开头的行，并使用组成员所需的属性名称替换其中的第三个字段。有关更详细的信息，请参见 AIX 5L 安全指南中的“LDAP Attribute Mapping File Format”。

在完成更改后，执行 mksecldap 命令对 AIX 5L LDAP 客户端进行配置。如果已经配置了 AIX 5L 客户端，可以运行 restart-secldapclntd 命令以重新启动 secldapclntd 守护进程使得更改生效。

多个组织单元
Active Directory 支持分布于不同子树的用户信息。大多数 Active Directory 用户定义于 cn=users,... 子树，但有一些可能定义在其他位置。Active Directory 服务器还可以定义多个组织单元，其中每一个组织单元包含一组用户。AIX 5L 操作系统的多个基本 DN 的支持特性可用于针对这种 Active Directory 服务器进行配置。有关该特性更详细的信息，请继续阅读接下来的部分。