LDAP -使用多个密码

Question

我想知道LDAP的情况，我不太了解LDAP。

为了减少黑客攻击时的大妥协，我想为LDAP帐户使用两个不同的密码:连接到web后台的密码和使用相同用户名的VPN密码。这样，如果有人妥协web服务器并存储用于连接的登录和密码，他们将无法进入网络，因为VPN密码将是不同的。LDAP允许这样做吗？

(PS:我当然会在后台和VPN上使用yubikey和OTP令牌，但是我还是想区分密码)。

谢谢大家！

Answer 1

你有不同的一般选择。其中哪些(如果有的话)工作取决于你的具体情况。

• 对于VPN和Web，您可以有不同的用户(用户名相同，但在不同的OU中)。在各自的OU中搜索服务。
• 如果您的服务不是针对LDAP，而是比较PWs本身，您可以在每个记录的模式中有两个密码字段。

如果没有这些选项，那么您就不走运了(并且需要两个用户名)，但是在大多数情况下，使用OTP和Yubikey这样的东西应该足够安全，而不必首先使用这种非标准的噱头。

Answer 2

最好的解决方案是为多个服务拥有单独的用户帐户条目。通过这样的设置，您可以应用不同的访问控制策略，这些策略可以更容易地被审计。确保将所有这些用户帐户条目与个人记录相关联，以便在人员离开组织时帐户被可靠禁用。在生成(多个)用户名时也要注意更改名称的人。

我的埃米-DIR正是为此而设计的:所有带有对象类aeUser的个人用户帐户条目都有一个属性aePerson，该属性引用一个人条目，该条目通常与HR数据库(对象类aePerson)同步。

为一个人添加的不同aeUser条目可以位于不同的所谓区域。这意味着管理可以委托给不同的所谓区域管理员集合。

作为作者，我当然有偏见。即使你不使用Even，你也可以借用它的一些想法，这是相当长一段时间处理这些东西的结果。