AIX 5L LDAP 用户管理

其中：

• Active Directory hostname 是您的 Windows Active Directory 服务器。
• cn=binduser,cn=users,dc=ADdomain,dc=abc,dc=com 是一个示例绑定凭据。它可以是 Active Directory 中定义的一个用户帐户。要成功地进行身份验证，该用户必须拥有对 Active Directory 用户的 UNIX 密码的读权限，要让用户更改他们的密码，还必须拥有对 Active Directory 用户的 UNIX 密码的写权限。
• 密码 指的是上面的 binduser 帐户的密码。

这将对 AIX 5L 操作系统进行配置以使用所指定的 Active Directory 服务器。身份验证模式将设置为 unix_auth。secldapclntd 守护进程将使用 cn=binduser,cn=users,dc=ADdomain,dc=abc,dc=comcn 标识绑定到 Active Directory。您可以使用 Active Directory 中定义的另一个有效的用户来替换 cn=binduser,cn=users,dc=ADdomain,dc=abc,dc=comcn。这个 Windows 用户帐户应该仅由 UNIX 客户端系统使用，以绑定到 Active Directory 服务器。

在 mksecldap 命令成功返回之后，检查 /etc/security/ldap/ldap.cfg 文件以确保 userbasedn 和 groupbasedn 指向所需的基本专有名称 (DN)。在缺省情况下，mksecldap 保存从 Active Directory 中找到的具有有效用户和组的第一个基本 DN，并且将这个基本 DN 保存到 /etc/security/ldap/ldap.cfg 文件。

例如，如果您的大部分用户和组位于 cn=users 容器中，并且 userbasedn 和 groupbasedn 指向其他地方，那么可以手动更正 userbasedn 和 groupbasedn。在将该更改保存到 /etc/security/ldap/ldap.cfg 文件之后，重新启动 secldapclntd 守护进程以使得该更改生效，如下所示。

# restart-secldapclntd

AIX 5L 操作系统还支持多个基本 DN。支持多个基本 DN 部分中提供了更详细的信息。

要验证是否正确配置了 AIX 5L LDAP 客户端，可以运行 lsuser 命令以列出 Active Directory 中定义的用户：

# lsuser –R LDAP <username>

要允许 Windows 用户登录到 AIX 5L 操作系统，管理员需要通过在 AIX 5L 操作系统中运行下列命令，对用户的 SYSTEM 和 registry 属性进行正确设置：

# chuser -R LDAP SYSTEM=LDAP registry=LDAP foo

请注意，当用户的 Windows 密码更改时，Windows 2000 和 2003 服务器会为这些支持 UNIX 的用户设置 UNIX 密码。该用户可以使用这个密码登录到 AIX 5L 操作系统，直到 AIX 5L 操作系统对这个密码进行了更改。在撰写本文时，当用户的 Windows 密码更改时，Window 2003 R2 不会设置 UNIX 密码。在这些情况下，root 用户必须在 AIX 5L 操作系统中运行 passwd 命令，以便为 Windows 用户设置 UNIX 密码，从而使他们能够登录到 AIX。