如何在不指定用戶憑證的情況下綁定和查詢LDAP服務器

Question

目前，我的Mac已成功配置為位於Active Directory域中。 （系統偏好設置->用戶和組->登錄選項->網絡帳戶服務器）

我們正在開發具有以下要求的Mac應用程序：

1. 它應該與Active Directory域中的LDAP服務器通信，並從LDAP服務器中檢索用戶及其屬性。
2. 與LDAP服務器通信（綁定或搜索）時，不允許我們明確指定登錄用戶的憑據。 （例如，我們不應該向用戶提示用戶名/密碼屏幕）

如果我們明確指定登錄用戶的憑據，

•我們能夠綁定到LDAP服務器

•我們能夠在LDAP服務器中搜索用戶及其屬性。

如果我們未指定登錄用戶的憑據，

•我們能夠綁定到LDAP服務器

•但是，它不允許我們在LDAP服務器中搜索用戶及其屬性。

我們目前正在使用OpenLDAP框架進行LDAP操作。

與LDAP服務器通信時，有沒有一種方法可以隱式使用登錄用戶的憑證？

您能否指導我們如何查詢LDAP服務器（在LDAP服務器中搜索用戶及其屬性），而無需明確指定登錄用戶的憑據。

任何幫助都將受到高度贊賞。

Answer 1

與LDAP服務器通信時，有沒有一種方法可以隱式使用登錄用戶的憑證？

也許。

如果可以設置Kerberos （並且SPNEGO使用的是WEB瀏覽器），則可以獲取“憑單”，然后可以使用GSSAPI對用戶進行身份驗證。

如果您使用許多第三方Access Manager產品之一來執行這些服務，則可能會更安全，因為它涉及固有的安全風險。