如何在不指定用户凭证的情况下绑定和查询LDAP服务器

Question

目前，我的Mac已成功配置为位于Active Directory域中。 （系统偏好设置->用户和组->登录选项->网络帐户服务器）

我们正在开发具有以下要求的Mac应用程序：

1. 它应该与Active Directory域中的LDAP服务器通信，并从LDAP服务器中检索用户及其属性。
2. 与LDAP服务器通信（绑定或搜索）时，不允许我们明确指定登录用户的凭据。 （例如，我们不应该向用户提示用户名/密码屏幕）

如果我们明确指定登录用户的凭据，

•我们能够绑定到LDAP服务器

•我们能够在LDAP服务器中搜索用户及其属性。

如果我们未指定登录用户的凭据，

•我们能够绑定到LDAP服务器

•但是，它不允许我们在LDAP服务器中搜索用户及其属性。

我们目前正在使用OpenLDAP框架进行LDAP操作。

与LDAP服务器通信时，有没有一种方法可以隐式使用登录用户的凭证？

您能否指导我们如何查询LDAP服务器（在LDAP服务器中搜索用户及其属性），而无需明确指定登录用户的凭据。

任何帮助都将受到高度赞赏。

Answer 1

与LDAP服务器通信时，有没有一种方法可以隐式使用登录用户的凭证？

也许。

如果可以设置Kerberos （并且SPNEGO使用的是WEB浏览器），则可以获取“凭单”，然后可以使用GSSAPI对用户进行身份验证。

如果您使用许多第三方Access Manager产品之一来执行这些服务，则可能会更安全，因为它涉及固有的安全风险。