Что не так в настройке openldap + phpLDAPadmin при экспорте контактов?

Question

[Дмитрий Айткулов]

Добрый день! Поставили задачу поднять openldap + phpLDAPadmin. openldap ставил отсюда, а панель от сюда. Все установилось и заработало. Создавались группы и пользователи. Но тут встала задача экспортировать "запись адресной книги" в Vcard. Экспортировал запись без проблем(конец строки windows), но открыв файл я не нашел некоторых атрибутов, таких как телефонные номера, адрес, почтовый индекс

BEGIN:VCARD
FN:Дмитрий Айткулов
ORG:Шериф Авто
UID:cn=Дмитрий Айткулов,ou=it,dc=centos,dc=com
VERSION:2.1
ADR:;;Array;Array;Array;;
END:VCARD

подскажите как решить проблему выгрузки в vcard? Может каких то схем в openldap не хватает? Заранее всем спасибо

Answer 1

[Сергей Н]

Протокол LDAP не позволяет вносить аттрибуты, которые не прописаны в схеме. Поэтому вы либо не указываете нужные аттрибуты при запросе, либо не внесли эти аттрибуты при импорте.
Для начала убедитесь, есть ли нужные вам аттрибуты в каталоге.
Экспортируйте, например в LDIF и поглядите.
Если аттрибуты есть, то предполагаю, что phpldapadmin берёт для конвертирования не те, в которых вы храните соответствующие данные. Если это так, то вам придётся либо перенести данные в нужные аттрибуты(не скажу, какие, надо копать код phpldapadmin), либо изменить конфигурацию OpenLDAP, настроив overlay(man slapo-rwm), либо написать свой собственный конвертер в VCARD.

Comments

[Дмитрий Айткулов]

Добрый день! Вы в настройке olcAccess на openldap не сможете помочь?

[Сергей Н]

Без точной постановки задачи только ссылкой: www.openldap.org/doc/admin24/access-control.html

[Дмитрий Айткулов]

olcAccess: {0}to attrs=userPassword,shadowLastChange by
  dn="cn=Manager,dc=server,dc=world" write by anonymous auth by self write by * none
olcAccess: {1}to dn.base="" by * read
olcAccess: {2}to * by dn="cn=Manager,dc=server,dc=world" write by * read

вот имеются базовые правила. Мне необходимо чтобы люди из "ou=admins" имели полные права на редактирование всей БД.
Потом как сделать чтобы только некоторые люди могли редактировать только родительский каталог и потомков в нем?!
Просьба ткнуть носом 3 день ковыряюсь сообразить не могу

[Сергей Н]

ACL проверяются сверху вниз. Для каждого совпадения нужно давать полный список доступа, т.е. не забывать "by * read" после "by ктот-там write", если хотите, чтобы у остальных был доступ на чтение.

Примерный LDIF ниже.
Забекапьтесь перед применением, а лучше вообще сделайте где-нибудь на тестовом сервере. Заблаговременно добавьте текущего админа в ou=admins. Предполагаю, что под ou=admins имеется ввиду dn, равный "ou=admins,dc=server,dc=world".
Можете вместо group.exact использовать dn.subtree, если ваши админы "растут" из определённого подкаталога, и вы не хотите включать их в группу.

dn: olcDatabase={нужная вам цифра}hdb,cn=config
changetype: modify
replace: olcAccess
olcAccess: {0}to attrs=userPassword,shadowLastChange by
dn="ou=admins,dc=server,dc=world" write by anonymous auth by self write by * none
olcAccess: {1}to dn.base="" by * read
olcAccess: {2}to dn.subtree="здесь подкаталог" by group.exact="группа для разрешений" write by * read
olcAccess: {3}to * by group.exact="ou=admins,dc=server,dc=world" write by * read

[Дмитрий Айткулов]

спасибо, конечно будем все тесть на тестовом серваке, а правила по умолчанию удалить или дописать к ним ваши правила?

[Сергей Н]

Тот LDIF, что я дал, заменяет весь аттрибут olcAccess на нужный. Я изменял тот, что дали вы. Замену лучше делать, т.к. важен порядок следования ACL.

[Дмитрий Айткулов]

Спасибо все получилось как надо, осталось разобратся в последнем вопросе а как сделать чтобы "uid=user,ou=users,dc=server,dc=com" имел права на "ou=test,dc=server,dc=com" и не имел больше доступа ни к чему

[Сергей Н]

Мы говорим уже про сервер, подключённый к каталогу? Если да, то без изменения схемы только локальными средствами. Например, pam_access.

Если мы говорим про ACL OpenLDAP, то
oldAccess: to "ou=test,dc=server,dc=com" by dn.exact="uid=user,ou=users,dc=server,dc=com" write by * read

[Дмитрий Айткулов]

спасибо благодаря вашим советам более менее разобрался в теме