受支持的 LDAP 服务器
可以通过将 AIX 5L 服务器配置为 LDAP 服务器的客户端，从而实现 AIX 5L LDAP 用户管理。AIX 5L 基于 LDAP 的用户和组管理支持下列类型的目录服务器：
- IBM Tivoli® Directory Server，推荐的 LDAP 服务器
- 非 IBM 的目录服务器
- Microsoft Active Directory Server
IBM Tivoli Directory Server
建议您使用 IBM Tivoli Directory Server 进行 AIX 5L LDAP 用户或组管理。IBM Tivoli Directory Server 具有符合 RFC 2307 的内置模式支持，并且提供了扩展的 AIX 5L 用户和组属性。IBM Tivoli Directory Server 提供了三种类型的与用户或组相关的模式：AIX、rfc2307 和 rfc2307aix。
模式类型 rfc2307aix 完全符合 RFCS 2307 规范，所以可以对其他的操作系统（如 Linux）进行配置以使用该信息。这种模式还提供了 AIX 5L 特定的扩展信息，如附加的用户控制、统计策略等等。建议将 rfc2307aix 模式类型用于用户和组对象。
不鼓励使用 AIX 模式类型，除非您希望服务器支持 AIX 5L 操作系统 V5.1 和更早版本的系统。AIX 5L 之外的操作系统可能无法使用 AIX 模式类型的 IBM Tivoli Directory Server 进行用户管理。
非 IBM 目录服务器
可以对 AIX 5L 服务器进行配置以使用非 IBM LDAP 服务器，但具有一定的限制。AIX 5L 操作系统支持符合 RFC 2307 的 LDAP 服务器的配置。其配置的复杂性和支持的级别有所差别，并且在下面的部分中进行了详细的描述。
- 符合 RFC 2307 的目录服务器
- 可以对 AIX 5L LDAP 客户端进行配置以使用非 IBM LDAP 服务器进行用户或组管理。如果目录服务器支持符合 RFC 2307 模式的用户或组信息，那么这样做是可行的。这些服务器还需要支持 LDAP Version 3 协议。
AIX 5L 客户端对这类服务器的操作不支持用户或组管理的完整功能。因为这些服务器通常不支持 AIX 5L 特定的用户或组属性，所以 AIX 5L 操作系统中一些很好的用户控制功能将无法使用。。
- 不符合 RFC 2307 的目录服务器
- AIX 5L 操作系统不支持不符合 RFC 2307 的目录服务器。然而，如果这类服务器包含所需的属性组，AIX 5L 操作系统可以按照 RFC 2307 中指定的那样与它们一起工作（假设该信息以不兼容的方式存储）。在这些情况下，管理员必须通过在 AIX 5L 客户端创建映射文件，将目录中的自定义信息映射为 RFC 2307 相关的信息。AIX 5L 操作系统提供的模式映射机制正是为了解决这个问题。
有关模式文件格式和模式文件使用的更详细信息，请参见 AIX 5L 安全指南中的“LDAP Attribute Mapping File Format”（参考资料）。
Microsoft Active Directory
可以对 AIX 5L LDAP 客户端进行配置以使用 Active Directory 服务。对于不同的 Microsoft® Windows® 发行版，基于 Active Directory 的用户和组信息也不相同。正因为这样，所以管理员应该完整地阅读本部分内容，并在 AIX 5L LDAP 客户端上建立所需的配置。
在 Windows 2000 和 Windows 2003 发行版中，Active Directory 可以通过 Windows Service For UNIX 包将用户和组信息映射为 UNIX 模式类型。要使得 AIX 5L 客户端能够通过基于 Active Directory 的信息进行身份验证，客户必须在基于 Active Directory 服务的系统中安装“Windows Services for UNIX”，然后配置 AIX 5L 客户端。稍后将提供有关这一配置的更详细信息。
AIX 5L 操作系统支持运行于 Windows 2000 和 2003 之上的安装了 Services for UNIX 模式版本 3.0 和 3.5 的 Active Directory 服务。
对于基于 Windows 2003 R2 的 Active Directory，不需要附加的 Windows Services for UNIX (SFU) 层。Windows 2003 R2 UNIX 支持模式与 Services for UNIX 3.0 和 3.5 中定义的模式不同。AIX 5L 操作系统需要 APAR IY91514 以支持 Windows 2003 R2 模式的 Active Directory。要检查是否安装了这个 APAR，可以运行下面的命令：
# instfix -ik APAR IY91514 |
由于 AIX 5L 操作系统和 Windows 系统在用户和组管理上存在差别，所以当使用 Active Directory 作为中央 LDAP 服务器时，并非所有的 AIX 5L 命令都能够正常使用。无法使用的命令包括 mkuser 和 mkgroup。其他大多数用户和组管理命令可以正常使用，这取决于对 AIX 5L 操作系统绑定到 Active Directory 的标识所赋予的访问权限。这些命令包括：
lsuserchuserrmuserlsgroupchgrouprmgroupidgroupspasswdchpasswd（仅适用于 unix_auth 模式）
对 AIX 5L 客户端进行配置以使用 Windows 服务器
对于 Windows 服务器，AIX 5L 操作系统支持两种用户身份验证机制：LDAP 身份验证和 Kerberos 身份验证。使用其中任何一种机制时，AIX 5L 操作系统支持针对 Active Directory 通过 LDAP 协议进行用户标识，而不需要在 AIX 5L 操作系统中存在对应的用户帐户。
在配置 AIX 5L 操作系统之前，必须在 Windows 服务器端完成下列操作步骤：
- Active Directory 必须安装了 UNIX 支持模式。
- Active Directory 必须包含支持 UNIX 的用户。
- 对于 Kerberos 身份验证，必须在 Windows 服务器上创建主机主体。
有关在 Active Directory 中安装这些模式，并为 Active Directory 用户提供 UNIX 支持，请参考相关的 Microsoft 文档。
对于 LDAP 身份验证，管理员可以使用 mksecldap 命令将 AIX 5L LDAP 客户端配置为使用 Active Directory 服务器，在使用 IBM Tivoli Directory Server 时也要进行这样的配置。mksecldap 命令查询服务器，发现远程服务器是基于 Active Directory 的，然后对 AIX 5L 操作系统进行相应的配置。
对于 Kerberos 身份验证，除了 LDAP 之外还必须配置 Kerberos。
下面的部分详细描述了使用 Windows 服务器进行 LDAP 身份验证和 Kerberos 身份验证的配置步骤。
配置 AIX 5L 以使用 unix_auth 模式与 Active Directory 协同工作
# mksecldap -c -h <Active Directory hostname> -a
<cn=binduser,cn=users,dc=ADdomain,dc=abc,dc=com> -p <password> |
其中：
- Active Directory hostname 是您的 Windows Active Directory 服务器。
- cn=binduser,cn=users,dc=ADdomain,dc=abc,dc=com 是一个示例绑定凭据。它可以是 Active Directory 中定义的一个用户帐户。要成功地进行身份验证，该用户必须拥有对 Active Directory 用户的 UNIX 密码的读权限，要让用户更改他们的密码，还必须拥有对 Active Directory 用户的 UNIX 密码的写权限。
- 密码 指的是上面的 binduser 帐户的密码。
这将对 AIX 5L 操作系统进行配置以使用所指定的 Active Directory 服务器。身份验证模式将设置为 unix_auth。secldapclntd 守护进程将使用 cn=binduser,cn=users,dc=ADdomain,dc=abc,dc=comcn 标识绑定到 Active Directory。您可以使用 Active Directory 中定义的另一个有效的用户来替换 cn=binduser,cn=users,dc=ADdomain,dc=abc,dc=comcn。这个 Windows 用户帐户应该仅由 UNIX 客户端系统使用，以绑定到 Active Directory 服务器。
在 mksecldap 命令成功返回之后，检查 /etc/security/ldap/ldap.cfg 文件以确保 userbasedn 和 groupbasedn 指向所需的基本专有名称 (DN)。在缺省情况下，mksecldap 保存从 Active Directory 中找到的具有有效用户和组的第一个基本 DN，并且将这个基本 DN 保存到 /etc/security/ldap/ldap.cfg 文件。
例如，如果您的大部分用户和组位于 cn=users 容器中，并且 userbasedn 和 groupbasedn 指向其他地方，那么可以手动更正 userbasedn 和 groupbasedn。在将该更改保存到 /etc/security/ldap/ldap.cfg 文件之后，重新启动 secldapclntd 守护进程以使得该更改生效，如下所示。
AIX 5L 操作系统还支持多个基本 DN。支持多个基本 DN 部分中提供了更详细的信息。
要验证是否正确配置了 AIX 5L LDAP 客户端，可以运行 lsuser 命令以列出 Active Directory 中定义的用户：
# lsuser –R LDAP <username> |
，其中 username 应该是 Active Directory 中定义的有效用户。
要允许 Windows 用户登录到 AIX 5L 操作系统，管理员需要通过在 AIX 5L 操作系统中运行下列命令，对用户的 SYSTEM 和 registry 属性进行正确设置：
# chuser -R LDAP SYSTEM=LDAP registry=LDAP foo |
其中，foo 是 Active Directory 中定义的一个示例用户。 在完成该更改之后，用户 foo 就可以登录到 AIX 5L 操作系统。
请注意，当用户的 Windows 密码更改时，Windows 2000 和 2003 服务器会为这些支持 UNIX 的用户设置 UNIX 密码。该用户可以使用这个密码登录到 AIX 5L 操作系统，直到 AIX 5L 操作系统对这个密码进行了更改。在撰写本文时，当用户的 Windows 密码更改时，Window 2003 R2 不会设置 UNIX 密码。在这些情况下，root 用户必须在 AIX 5L 操作系统中运行 passwd 命令，以便为 Windows 用户设置 UNIX 密码，从而使他们能够登录到 AIX。
如果要让所有的 Windows 用户都能够登录到 AIX 5L 操作系统，对每个用户进行这样的操作可能非常麻烦。在这些情况下，管理员可以手动编辑 /etc/security/user 文件，并将 default 节的 SYSTEM 和 registry 属性设置为 LDAP。如果 default 节中不包含这些属性，那么需要添加它们。修改后的 default 节应该与下面所示类似：
default:
...
SYSTEM = "LDAP"
registry = LDAP
... |
如果已将 default 节更改为 LDAP，这些本地定义的用户可能无法登录到 AIX 5L 操作系统，除非将他们的 SYSTEM 设置为 compat，registry 设置为 files。管理员必须找出这些帐户，并为每个用户运行下面的命令以进行相应的更改。
# chuser SYSTEM=compat registry=files <local user> |
配置 AIX 5L 以使用 ldap_auth 身份验证模式与 Active Directory 协同工作
# mksecldap -c -h <Active Directory hostname> -a
<cn=binduser,cn=users,dc=ADdomain,dc=abc,dc=com> -p <password> -A ldap_auth |
其中：
- Active Directory hostname 是您的 Windows Active Directory 服务器。
- cn=binduser,cn=users,dc=ADdomain,dc=abc,dc=com 是一个示例绑定凭据。它可以是 Active Directory 中定义的一个用户帐户。
- 密码 指的是上面的 binduser 帐户的密码。
要验证是否正确配置了 AIX 5L 操作系统，可以运行 lsuser 命令以列出 Active Directory 中定义的用户：
# lsuser -R LDAP <username> |
其中 username 应该是 Active Directory 中定义的有效用户。
注意：如果您尚未安装 APAR IY91514（请参见 Microsoft Active Directory 部分，以了解如何查看是否安装了该 APAR），那么可能无法 将 AIX 5L spassword 属性映射为正确的 Active Directory 密码属性。这可能导致身份验证失败，即使您使用了正确的密码。请按照下面的步骤对映射进行更正：
- 编辑 /etc/security/ldap/sfu30user.map 文件，找到以单词 spassword 开头的行，例如
spassword SEC_CHAR msSFU30Password s |
，将 msSFU30Password 替换为 unicodePwd。虽然上面的示例中显示的是 msSFU30Password，但也可能是其他的内容。
这一行变成了：
spassword SEC_CHAR unicodePwd s |
保存该文件。
- 重新启动
secldapclntd 守护进程以使上面的更改生效：
要允许 Windows 用户登录到 AIX 5L 操作系统，管理员需要通过在 AIX 5L 操作系统中运行下列命令，对用户的 SYSTEM 和 registry 属性进行正确设置：
# chuser -R LDAP SYSTEM=LDAP registry=LDAP foo |
其中，foo 是 Active Directory 中定义的一个示例用户。
在完成该更改之后，用户 foo 就可以使用其 Windows 密码登录到 AIX 5L 操作系统。
如果要让所有的 Windows 用户都能够登录到 AIX 5L 操作系统，为每个用户进行上述的操作可能非常麻烦。在这些情况下，管理员可以手动编辑 /etc/security/user 文件，并将 default 节的 SYSTEM 和 registry 属性设置为 LDAP。如果 default 节中不包含这些属性，那么需要添加它们。default 节应该与下面所示类似：
default:
...
SYSTEM = "LDAP"
registry = LDAP
... |
如果已将 default 节更改为 LDAP，这些本地定义的用户可能无法登录到 AIX 5L 操作系统，除非将他们的 SYSTEM 设置为 compat，registry 设置为 files。管理员需要找出这些帐户，并为每个用户运行下面的命令以进行相应的更改。
# chuser SYSTEM=compat registry=files <local user> |
AIX 5L 操作系统的 passwd 命令支持更改 Windows 用户 unicodePwd 密码。如果 Windows Active Directory 需要通过 LDAP 进行密码更改，则必须通过安全连接来实现。有关在 AIX 5L 操作系统中配置 SSL 以使用 Active Directory 的详细信息，请参阅“Integrating AIX into Heterogeneous LDAP Environments”红皮书（参见参考资料部分）。要更改 unicodePwd 密码，AIX 5L 操作系统还需要 APAR IY91922。要检查是否安装了这个 APAR，可以运行下面的命令：
# instfix -ik APAR IY91922 |
配置 AIX 5L 操作系统以通过 Windows 密钥分发中心使用 Kerberos 身份验证
除了通过 LDAP 对用户进行身份验证之外，AIX 5L 还支持通过 Kerberos 协议对 Windows 进行身份验证。使用 Kerberos 的好处是不需要通过网络传输密码，从而提高了安全性。Kerberos 和 LDAP 的结合允许通过 Windows 密钥分发中心 (KDC) 使用 Kerberos 进行用户身份验证，而 LDAP 用户标识通过 Active Directory 完成。因为用户信息来自于 Active Directory，所以不需要在 AIX 5L 操作系统上创建相应的用户标识。这种配置需要在 AIX 5L 操作系统上创建 KRB5ALDAP 复合加载模块。请按照下面的步骤配置 AIX 5L 操作系统。
- 安装 Network Authentication Services (NAS) 文件集。
必须从 AIX 5L Expansion Pack CD 中安装下面的 NAS 文件集：
- 配置 AIX 5L 操作系统以使用 Windows KDC。
- 运行
configure.krb5 命令。
/usr/krb5/sbin/config.krb5 -C -r <Windows domain name> -d <DNS domain> -c
<Windows server name> -s <Windows server name> |
例如：
# /usr/krb5/sbin/config.krb5 -C -r ADDOMAIN.ABC.COM -d abc.com -c
win2003.abc.com -s win2003.abc.com
Initializing configuration...
Creating /etc/krb5/krb5_cfg_type...
Creating /etc/krb5/krb5.conf...
The command completed successfully. |
对于 Kerberos 领域名，Windows KDC 要求其全部是大写字母。这些设置将会保存到 /etc/krb5/krb5.conf 文件。
- Windows 仅支持
des-cbc-md5 和 des-cbc-crc 加密。编辑 /etc/krb5/krb5.conf 文件的 libdefaults 节以删除所有其他的加密机制，该节应该与如下所示类似：
[libdefaults]
default_realm = ADDOMAIN.ABC.COM
default_keytab_name = FILE:/etc/krb5/krb5.keytab
default_tkt_enctypes = des-cbc-md5 des-cbc-crc
default_tgs_enctypes = des-cbc-md5 des-cbc-crc |
- 同步 AIX 和 Windows 服务器的时钟。
- 使用有效的 Windows 用户运行
/usr/krb5/bin/kinit 命令，并确保该命令成功返回。还需确保 /usr/krb5/bin/klist 命令显示了该用户的 Kerberos 凭据，如下所示：
# /usr/krb5/bin/kinit foo
Password for foo@ADDOMAIN.ABC.COM: <enter password>
# /usr/krb5/bin/klist
Ticket cache: FILE:/var/krb5/security/creds/krb5cc_0
Default principal: foo@ADDOMAIN.ABC.COM
Valid starting Expires Service principal
11/27/06 15:33:55 11/28/06 01:33:28 krbtgt/ADDOMAIN.ABC.COM@ADDOMAIN.ABC.COM
Renew until 11/28/06 15:33:55
# |
- 配置 AIX 5L LDAP 以使用 Active Directory。
要使用 mksecldap 命令对 AIX 5L LDAP 进行配置以使用 Active Directory，请按照前面的“配置 AIX 5L 以使用 unix_auth 模式与 Active Directory 协同工作”部分中的说明进行操作。不要为用户设置 SYSTEM 和 registry 属性，不要修改 /etc/security/user 文件的 default 节。
- 创建 KRB5ALDAP 复合加载模块。
向 /usr/lib/security/methods.cfg 文件中手动追加下列内容。
KRB5A:
program = /usr/lib/security/KRB5A
options = authonly
KRB5ALDAP:
options = db=LDAP,auth=KRB5A
|
或者，如果不需要 TGT 验证，可以按照如下所示设置复合加载模块。在这些情况下，您可以省略步骤 5 和 6，直接转到步骤 7。
KRB5A:
program = /usr/lib/security/KRB5A
options = tgt_verify=no
KRB5ALDAP:
options = db=LDAP,auth=KRB5A |
- 在 Windows 服务器上创建 AIX 5L 主体。
- 在 Windows 服务器上创建一个用户帐户。使用 AIX 5L 主机名作为用户名，例如 aixhost。
- 通过在 Windows 服务器上运行
ktpass 命令，将该帐户映射为 AIX 5L 主机主体，并将 ktpass 命令的 keytab 输出到一个文件。
ktpass – princ host/aixhost.ibmabc.com@ADDOMAIN.ABC.COM –mapuser
aixhost –pass password –out aixhost.keytab |
- 将 aixhost.keytab 文件复制到 AIX 系统，并使用 ktutil 工具将密钥添加到 AIX keytab。
# /usr/krb5/sbin/ktutil
ktutil: rkt aixhost.keytab
ktutil: wkt /etc/krb5/krb5.keytab
ktutil: q |
- 允许 Windows 用户登录到 AIX 5L 操作系统。
要允许 Windows 用户使用 KRB5ALDAP 机制登录到 AIX 5L 操作系统，管理员需要在 AIX 5L 操作系统中运行下面的命令：
# chuser -R KRB5ALDAP SYSTEM=KRB5ALDAP registry=KRB5ALDAP foo |
其中，foo 是一个示例用户。
在进行了更改之后，Windows 用户可以使用他们的 Windows 密码登录到 AIX 5L 操作系统。不需要在 AIX 5L 操作系统中创建相应的用户。用户的标识信息来自于 Windows Active Directory。
如果要让所有的 Windows 用户都能够登录到 AIX 5L 操作系统，为每个用户进行上述的操作可能非常麻烦。在这些情况下，管理员可以手动编辑 /etc/security/user 文件，并将 default 节的 SYSTEM 和 registry 属性设置为 KRB5ALDAP。如果 default 节中不包含这些属性，那么需要添加它们。default 节应该与下面所示类似：
default:
...
SYSTEM = KRB5ALDAP
registry = KRB5ALDAP
... |
如果已将 default 节更改为 KRB5ALDAP，这些本地定义的用户可能无法登录到 AIX 5L 操作系统，除非将他们的 SYSTEM 设置为 compat，registry 设置为 files。管理员需要找出这些帐户，并为每个用户运行下面的命令以进行相应的更改。
# chuser SYSTEM=compat registry=files <local user> |
在对 KRB5ALDAP 机制进行配置之后，用户无法使用他们旧的 unix_auth 模式 LDAP 密码登录到 AIX 5L 操作系统。不过，如果用户使用了 ldap_auth 模式，则可以继续使用相同的密码登录到 AIX 5L 操作系统。这是因为 ldap_auth 使用了 Windows 本身的密码，而 unix_auth 模式则使用了不同的密码。
有关 Active Directory 的注意事项
本部分内容简要地介绍了您在为 AIX 5L 客户端使用 Microsoft Active Directory 作为 LDAP 服务器时可能碰到的一些问题。
在 Active Directory 中支持多个密码
可以看出，Active Directory 在其数据库中为用户提供了四种不同的密码属性：
- userPassword
- unixUserPassword
- msSFU30Password
- unicodePwd
因此，相对于 Active Directory，AIX 5L 操作系统上的密码管理可能是个问题。对于密码管理来说，客户应该使用哪个属性并不确定。AIX 5L LDAP 属性映射功能允许客户对这个方面进行研究，并根据他们的需求对密码管理进行自定义。
AIX 5L 操作系统支持两种身份验证机制：unix_auth 和 ldap_auth。下面是可以用于这些身份验证模式的密码管理策略：
- unix_auth 模式身份验证
- 使用 AIX 5L 身份验证的
unix_auth 模式时，Active Directory 需要加密格式的密码。在进行身份验证时，从 Active Directory 中检索到加密的密码，并将其与用户输入的加密格式的密码进行比较。缺省情况下，在操作 Windows 2000 和 2003 时，AIX 5L 操作系统使用 Active Directory 中的 msSFU30Password 属性，而在操作 Windows 2003 R2 时，则使用 userPassword 属性。
如果要使用不同的密码，那么管理员需要手动修改 /etc/security/ldap/sfu30user.map 文件（或 /etc/security/ldap/sfur2user.map，如果 Active Directory 运行于 Windows 2003 R2 上）。查找以单词 spassword 开头的行，并将该行的第三个字段更改为所需的 Active Directory 密码属性名称。有关更详细的信息，请参阅 AIX 5L 安全指南中的“LDAP Attribute Mapping File Format”。在进行了更改之后，运行 mksecldap 命令以配置 AIX 5L LDAP 客户端。如果已经配置了 AIX 5L 客户端，可以运行 restart-secldapclntd 命令，重新启动 secldapclntd 守护进程以使该更改生效。
在这种身份验证的模式中，AIX 5L 客户端不能使用 unicodePwd 属性，因为它采用的是 unicode 格式，而不是 unix_auth 身份验证模式所需的加密格式。
使用 unix_auth 身份验证模式的缺点是，AIX 5L 和 Windows 系统的密码完全不同。如果用户从 AIX 5L 客户端更改密码，就会出现这种情况。尽管用户可以从 AIX 5L 客户端使用 passwd 命令将他们的密码设置为与 Windows 密码相同的密码，但是当用户在 AIX 5L 操作系统中更改他们的密码时，AIX 5L 客户端不支持自动更改其 Windows 密码。
- ldap_auth 身份验证模式
- 使用
ldap_auth 模式时，AIX 5L 操作系统通过使用用户标识信息和所提供的密码对服务器执行 LDAP 绑定操作，以便对用户进行身份验证。要实现这种类型的基于 Active Directory 服务器的身份验证，必须将 AIX 5L 密码映射为 Active Directory 的 unicodePwd 属性。在将 AIX 5L LDAP 配置为使用 ldap_auth 模式时，mksecldap 会将密码属性映射为 Active Directory 的 unicodePwd 属性。该特性需要 APAR IY91514，如果尚未安装，请参见 Microsoft Active Directory 以手动更改密码映射。
当用户登录到 Windows 系统时，将使用 unicodePwd 属性。通过将 AIX 5 L 密码映射为 unicodePwd，Active Directory 中定义的用户可以使用相同的密码登录到 Windows 系统和 AIX 5L 系统。AIX 5L 操作系统仅支持在 ldap_auth 模式中使用 unicodePwd。这样做还允许用户从 AIX 5L 系统更改密码，该更改将会在 AIX 5L 和 Windows 系统中生效。
使用 Active Directory 组属性进行组管理
与密码问题类似，Microsoft Services for UNIX 定义了与多个组成员相关的属性：
- memberUid
- msSFU30MemberUid
- msSFU30PosixMember
memberUid 和 msSFU30MemeberUid 属性接受用户帐户名，而 msSFU30PosixMember 仅接受完整的 DN。例如，对于用户帐户 foo（其名字为 bar），它在 Active Directory 中的定义如下：
- memberUid:foo
- msSFU30MemberUid:foo
- msSFU30PosixMember:cn=foo bar,cn=users,dc=ADdomain,dc=abc,dc=com
可以对 AIX 5L LDAP 客户端进行配置，以使用这些属性。您可以与 Active Directory 管理员讨论，以确定使用哪些属性。建议使用 memberUid 或 msSFU30MemberUid 代替 msSFU30PosixMember，因为前者将节省存储空间和网络流量，并具有更好的性能。在缺省情况下，mksecldap 对 AIX 5L LDAP 客户端进行配置以便对运行于 Windows 2000 和 2003 的 Active Directory 使用 msSFU30PosixMember 属性，对运行于 Windows 2003 R2 的 Active Directory 使用 memberUid 属性。这种选择是因为 Active Directory 的行为，当在 Windows 中将用户添加到组中时，它会选择相应的属性。您的组织策略可能需要使用非缺省的组成员属性以支持多种平台。
与密码中的情况一样，AIX 5L 管理员可以对 LDAP 客户端进行配置，以使用不同的组成员属性。通过手动编辑组映射文件，您可以更改映射。对于运行于 Windows 2000 和 2003 的 Active Directory，组映射文件为 /etc/security/ldap/sfu30group.map；对于运行于 Windows 2003 R2 的 Active Directory，组映射文件为 /etc/security/ldap/sfur2group.map。查找以单词“users”开头的行，并使用组成员所需的属性名称替换其中的第三个字段。有关更详细的信息，请参见 AIX 5L 安全指南中的“LDAP Attribute Mapping File Format”。
在完成更改后，执行 mksecldap 命令对 AIX 5L LDAP 客户端进行配置。如果已经配置了 AIX 5L 客户端，可以运行 restart-secldapclntd 命令以重新启动 secldapclntd 守护进程使得更改生效。
多个组织单元
Active Directory 支持分布于不同子树的用户信息。大多数 Active Directory 用户定义于 cn=users,... 子树，但有一些可能定义在其他位置。Active Directory 服务器还可以定义多个组织单元，其中每一个组织单元包含一组用户。AIX 5L 操作系统的多个基本 DN 的支持特性可用于针对这种 Active Directory 服务器进行配置。有关该特性更详细的信息，请继续阅读接下来的部分。
![[ 永远的UNIX::UNIX技术资料的宝库 ]](/images/title.gif)