ext_ldap_group_acl(8) System Manager's Manual ext_ldap_group_acl(8)

ext_ldap_group_acl - برنامه کمکی Squid برای احراز مجوز گروهی خارجی با LDAP

نسخه 2.18

ext_ldap_group_acl -b base-DN -f filter [ options ] [ server [ ':' port ] | URI ] ...

ext_ldap_group_acl به Squid اجازه می‌دهد برای احراز مجوز کاربران از طریق گروه‌های LDAP به یک دایرکتوری LDAP متصل شود. گزینه‌های LDAP به عنوان پارامتر در خط فرمان مشخص می‌شوند، در حالی که نام(های) کاربری و گروه(های) مورد بررسی در دایرکتوری LDAP در خطوط بعدی ورودی برنامه کمکی، هر جفت نام کاربری/گروه در یک خط و با فاصله از هم مشخص می‌شوند.

همان‌طور که توسط ساختار external_acl_type در Squid انتظار می‌رود، پس از تعیین یک نام کاربری و گروه به دنبال یک خط جدید، این برنامه کمکی در خط بعد عبارت OK یا ERR را خروجی می‌دهد تا مشخص کند آیا کاربر عضو گروه مشخص‌شده است یا خیر.

برنامه با جستجو از طریق یک فیلتر جستجو بر اساس نام کاربری و گروه درخواستی کار می‌کند و اگر تطابقی یافت شود، مشخص می‌گردد که کاربر به گروه تعلق دارد.

زمان ارجاع‌زدایی از نام‌های مستعار. پیش‌فرض 'never' است.
never عدم ارجاع‌زدایی از نام‌های مستعار (پیش‌فرض)، always ارجاع‌زدایی همیشگی از نام‌های مستعار، فقط در حین search یا فقط برای find شیء پایه
الزامی. مشخص‌کننده DN پایه که گروه‌ها در زیر آن قرار دارند.
مشخص‌کننده DN پایه که کاربران در زیر آن قرار دارند (در صورت تفاوت).
تعیین مهلت زمانی اتصال به کارسازهای LDAP (نیازمند کتابخانه‌های Netscape LDAP API).
حالت اشکال‌زدایی که در آن هر مرحله انجام‌شده با جزئیات گزارش می‌شود. برای فهمیدن اینکه در صورت مغایرت نتیجه با انتظار چه مشکلی پیش آمده مفید است.
مشخص کردن DN و گذرواژه برای اتصال در حین انجام جستجوها. در صورتی که دایرکتوری LDAP اجازه جستجوهای ناشناس را ندهد، الزامی است.
از آنجا که گذرواژه باید به‌صورت متن ساده در پیکربندی Squid شما درج شود و در خط فرمان به برنامه کمکی ارسال خواهد شد، اکیداً توصیه می‌شود از حسابی با حداقل امتیازات استفاده کنید. این کار آسیب احتمالی در صورت دستیابی کسی به نسخه‌ای از پرونده پیکربندی Squid یا استخراج گذرواژه از فهرست فرآیندها را محدود می‌کند.
مشخص کردن DN و نام پرونده حاوی گذرواژه برای اتصال در حین انجام جستجوها.
نگارشی با ناامنی کمتر نسبت به جفت پارامتر قبلی با دو مزیت: گذرواژه در فهرست فرآیندها ظاهر نمی‌شود و در صورت دسترسی فردی به پرونده پیکربندی squid بدون دسترسی به secretfile، گذرواژه لو نمی‌رود.
فعال‌سازی LDAP روی SSL (نیازمند کتابخانه‌های Netscape LDAP API).
فیلتر جستجوی LDAP مورد استفاده برای جستجوی دایرکتوری LDAP جهت هرگونه عضویت گروهی منطبق. در فیلتر عبارت %u با نام کاربری (یا DN در صورت استفاده از گزینه‌های -F یا -u ) و %g با نام گروه درخواستی جایگزین خواهد شد.
فیلتر جستجوی LDAP مورد استفاده برای جستجوی دایرکتوری LDAP جهت یافتن کاربران منطبق. در فیلتر عبارت %s با نام کاربری جایگزین خواهد شد. اگر قرار است نویسه % به‌صورت تحت‌اللفظی در فیلتر گنجانده شود، از %% استفاده کنید.
مشخص می‌کند نخستین آرگومان پرس‌وجو ارسالی توسط Squid به برنامه کمکی، یک پسوند برای basedn است و موقتاً برای این پرس‌وجو در ابتدای basedn سراسری اضافه خواهد شد.
مشخص کردن کارساز LDAP برای اتصال.
مشخص کردن کارساز LDAP برای اتصال از طریق URI مربوط به LDAP (نیازمند کتابخانه‌های OpenLDAP).
حذف بخش Kerberos Realm از نام‌های کاربری (جداشده با @).
مشخص کردن درگاه TCP جایگزین که کارساز LDAP روی آن شنود می‌کند، در صورتی که غیر از درگاه پیش‌فرض LDAP یعنی 389 باشد.
استفاده از اتصال پایدار LDAP. به‌طور معمول اتصال LDAP تنها در حین اعتبارسنجی عضویت گروهی کاربر باز است تا منابع در سرور LDAP حفظ شوند. این گزینه باعث می‌شود اتصال LDAP باز نگه داشته شود و امکان استفاده مجدد از آن برای اعتبارسنجی‌های بعدی کاربر فراهم گردد. برای محیط‌های بزرگ توصیه می‌شود.
عدم دنبال کردن ارجاعات (referrals).
محدوده جستجو. پیش‌فرض sub است.
base فقط شیء پایه،
one یک سطح زیر شیء پایه یا
sub زیردرخت زیر شیء پایه
حذف بخش نام دامنه NT از نام‌های کاربری (جداشده با / یا \).
تعیین محدودیت زمانی برای عملیات جستجوی LDAP.
ویژگی LDAP مورد استفاده برای ساخت DN کاربر از نام کاربری و base dn بدون نیاز به جستجو برای کاربر. حداکثر ۱۶ بار تکرار %s پشتیبانی می‌شود.
نگارش پروتکل LDAP. در صورت عدم تعیین، مقدار پیش‌فرض 3 است.
استفاده از رمزنگاری TLS.

این برنامه کمکی در نظر گرفته شده است تا به عنوان یک برنامه کمکی external_acl_type در squid.conf استفاده شود.

external_acl_type ldap_group %LOGIN /path/to/ext_ldap_group_acl ...
acl group1 external ldap_group Group1
acl group2 external ldap_group Group2

نکته: هنگام ساخت فیلترهای جستجو توصیه می‌شود ابتدا فیلتر را با استفاده از ldapsearch آزمایش کنید تا قبل از اقدام به استفاده از ext_ldap_group_acl مطمئن شوید فیلتر با آنچه انتظار دارید مطابقت دارد.

این برنامه توسط افراد زیر نوشته شده است: Flavio Pescuma <flavio@marasystems.com> Henrik Nordstrom <hno@squid-cache.org>

بر اساس کارهای پیشین در squid_ldap_auth توسط Glen Newton <glen.newton@nrc.ca>

این راهنما توسط فرد زیر نوشته شده است: Henrik Nordstrom <hno@marasystems.com>


* Copyright (C) 1996-2026 The Squid Software Foundation and contributors
*
* Squid software is distributed under GPLv2+ license and includes
* contributions from numerous individuals and organizations.
* Please see the COPYING and CONTRIBUTORS files for details.

حق نشر این برنامه و مستندات برای نویسندگان نام‌برده در بالا محفوظ است.

توزیع‌شده تحت مجوز عمومی همگانی گنو (GNU GPL) نگارش ۲ یا جدیدتر (GPLv2+).

پرسش‌ها درباره استفاده از این برنامه را می‌توان به فهرست پستی کاربران اسکویید ارسال کرد: <squid-users@lists.squid-cache.org>

یا اگر پرسش بیشتر به LDAP مربوط است تا Squid، با فهرست یا دوستان متخصص LDAP خود تماس بگیرید.

گزارش‌های باگ باید به زبان انگلیسی ارسال شوند. برای اطلاع از جزئیات آنچه باید در گزارش باگ خود بگنجانید به https://wiki.squid-cache.org/SquidFaq/BugReporting مراجعه کنید.

گزارش باگ‌ها یا رفع اشکالات با استفاده از https://bugs.squid-cache.org

گزارش باگ‌های امنیتی جدی به Squid Bugs <squid-bugs@lists.squid-cache.org>

گزارش ایده‌ها برای بهبودهای جدید به فهرست پستی توسعه‌دهندگان اسکویید: <squid-dev@lists.squid-cache.org>

squid(8), basic_ldap_auth(8), ldapsearch(1), GPL(7),
مستندات LDAP مورد علاقه شما
RFC2254 - The String Representation of LDAP Search Filters,
ویکی سوالات متداول اسکویید: https://wiki.squid-cache.org/SquidFaq
راهنمای پیکربندی اسکویید: http://www.squid-cache.org/Doc/config

30 January 2005