PostgreSQL LDAP 認證

這種認證方法操作起來類似于password，只不過它使用 LDAP 作為密碼驗證方法。LDAP 只被用于驗證用戶名/口令對。因此，在使用 LDAP 進行認證之前，用戶必須已經(jīng)存在于數(shù)據(jù)庫中。

LDAP 認證可以在兩種模式下操作。在第一種模式中（我們將稱之為簡單綁定模式），服務器將綁定到構(gòu)造成prefix username suffix的可區(qū)分名稱。通常，prefix參數(shù)被用于指定 cn=或者一個活動目錄環(huán)境中的DOMAIN\。suffix被用來指定非活動目錄環(huán)境中的DN的剩余部分。

在第二種模式中（我們將稱之為搜索與綁定模式），服務器首先用一個固定的用戶名和密碼（用ldapbinddn和ldapbindpasswd指定）綁定到 LDAP 目錄 ，并為試圖登入該數(shù)據(jù)庫的用戶執(zhí)行一次搜索。如果沒有配置用戶名和密碼， 將嘗試一次匿名綁定到目錄。搜索將在位于ldapbasedn的子樹上被執(zhí)行，并將嘗試做一次 ldapsearchattribute 中指定屬性的精確匹配。一旦在這次搜索中找到用戶，服務器斷開并且作為這個用戶重新綁定到目錄，使用由客戶端指定的口令來驗證登錄是正確的。這種模式與在其他軟件中的 LDAP 認證所使用的相同，例如 Apache mod_authnz_ldap 和 pam_ldap。這種方法允許位于目錄中用戶對象的更大靈活性，但是會導致建立兩個到 LDAP 服務器的獨立連接。

下列配置選項被用于兩種模式：

注意使用ldapscheme或ldaptls僅會加密PostgreSQL服務器和LDAP服務器之間的通信。PostgreSQL服務器和PostgreSQL客戶端之間的連接仍是未加密的，除非也在其上使用SSL。

下列選項只被用于簡單綁定模式：

下列選項只被用于搜索與綁定模式：

將簡單綁定的選項中混合用于搜索與綁定的選項是一種錯誤。

在使用search+bind模式時，可以用ldapsearchattribute指定的單個屬性執(zhí)行搜索，或者使用ldapsearchfilter指定的自定義搜索過濾器執(zhí)行搜索。指定ldapsearchattribute=foo等效于指定ldapsearchfilter="(foo=$username)"。如果兩個選項都沒有被指定，則默認為 ldapsearchattribute=uid。

如果PostgreSQL與OpenLDAP一起編譯為LDAP客戶端庫，ldapserver 設置可能被省略。 在這種情況下，主機名和端口列表通過RFC 2782 DNS SRV記錄來進行查詢。 查詢名稱_ldap._tcp.DOMAIN，DOMAIN是從 ldapbasedn中摘取的。

這里是一個簡單綁定 LDAP 配置的例子：

host ... ldap ldapserver=ldap.example.net ldapprefix="cn=" ldapsuffix=", dc=example, dc=net"

當請求一個作為數(shù)據(jù)庫用戶someuser到數(shù)據(jù)庫服務器的連接時，PostgreSQL 將嘗試使用cn=someuser, dc=example, dc=net和客戶端提供的口令來綁定到 LDAP 服務器。如果那個連接成功，將被授予數(shù)據(jù)庫訪問。

這里是一個搜索與綁定配置的例子：

host ... ldap ldapserver=ldap.example.net ldapbasedn="dc=example, dc=net" ldapsearchattribute=uid

當請求一個作為數(shù)據(jù)庫用戶someuser到數(shù)據(jù)庫服務器的連接時，PostgreSQL 將嘗試匿名綁定（因為沒有指定ldapbinddn）到 LDAP 服務器，在指定的基礎 DN 下執(zhí)行一次對于(uid=someuser)的搜索。如果找到一個項，則它將嘗試使用找到的信息和客戶端提供的口令進行綁定。如果第二個連接成功，將被授予數(shù)據(jù)庫訪問。

這里是被寫成一個 URL 的相同搜索與綁定配置：

host ... ldap ldapurl="ldap://ldap.example.net/dc=example,dc=net?uid?sub"

一些支持根據(jù) LDAP 認證的其他軟件使用相同的 URL 格式，因此很容易共享該配置。

這里是一個search+bind配置的例子，它使用ldapsearchfilter而不是ldapsearchattribute來允許用用戶ID或電子郵件地址進行認證：

host ... ldap ldapserver=ldap.example.net ldapbasedn="dc=example, dc=net" ldapsearchfilter="(|(uid=$username)(mail=$username))"

這是一個search+bind配置的例子，它使用DNS SRV discovery來查找域名example.net的LDAP服務的主機名和端口。

host ... ldap ldapbasedn="dc=example,dc=net"