В моей текущей настройке LDAP "getent passwd" показывает всех 600+ пользователей, которые существуют в LDAP, не перечисляя только 20 LDAP-пользователей, которые имеют разрешение на доступ к этой сетевой группе / серверу.
Это можно решить с помощью режима совместимости для фильтрации пользователей:
nsswitch.conf
passwd: files compat
passwd_compat: ldap
in passwd file, add +@netgroup.
Интересно, каковы недостатки использования этого режима совместимости с nsswitch?
Многие предполагают, что вы используете NIS (плохо по нескольким причинам), что на самом деле означает совместимость (что вы можете использовать синтаксис NIS, например + @ netgroup и т. Д.). Я предполагаю, что вы на самом деле не используете YP для этих ящиков, а создаете соответствующие файлы вручную (или с марионеткой или чем-то еще). В этом случае я не вижу серьезного недостатка, просто небольшая дополнительная конфигурация, и вам нужно будет следить за совместимостью (без каламбура). Вы можете получить те же результаты, установив фильтр в вашем ldap.conf, который должен быть более совместимым.
Взаимодействие с синтаксисом +/- (режим совместимости)
Linux libc5 без NYS не имеет переключателя службы имен, но позволяет пользователю управлять политикой. В / etc / passwd вы можете иметь записи вида + пользователь или + @ netgroup (включить указанного пользователя из карты NIS passwd), -user или - @ netgroup (исключить указанного пользователя) и + (включить каждого пользователя, кроме исключенных, из карты NIS passwd). Поскольку большинство людей ставят + только в конце / etc / passwd, чтобы включить все из NIS, переключатель обеспечивает более быструю альтернативу в этом случае (
passwd: files nis') which doesn't require the single + entry in /etc/passwd, /etc/group, and /etc/shadow. If this is not sufficient, the NSScompat 'предоставляет полную семантику +/-. По умолчанию источником являетсяnis', but this may be overriden by specifyingnisplus 'в качестве источника для псевдо-баз данных passwd_compat, group_compat и shadow_compat. Эти псевдо-базы данных доступны только в библиотеке GNU C.