Расположение пароля в открытом каталоге и метод шифрования
Справочная информация. Я хотел бы использовать Google Apps Directory Sync (GADS) для синхронизации учетных записей пользователей и паролей с сервера Mac OS X (10.9), на котором работает Open Directory. GADS установлен на виртуальной машине Ubuntu 12.04 LTS и успешно настроен для синхронизации учетных записей пользователей из Mac OS X Server с Google Apps. Тем не менее, я понимаю, что, похоже, не удастся синхронизировать пароль пользователя из Open Directory.
Для синхронизации пароля GADS требуется следующее: атрибут пароля, атрибут метки времени пароля и метод шифрования пароля. Поддерживаемые методы шифрования: SHA1, MD5, Base64, обычный текст.
Я изучал схему LDAP Open Directory с помощью JXplorer и заметил ссылку на authAuthority (Authentication Authority). Существует два атрибута LDAP, помеченных как authAuthority: один содержит значение для Kerberosv5, а другой - ApplePasswordServer.
Из моего понимания Руководства администратора Open Directory: в отличие от некоторых других каталогов LDAP, OS X не хранит пароль внутри записи LDAP - она использует механизм "SASL" - она запрашивает атрибут "AuthenticationAuthority", чтобы определить местоположение, где пароль пользователя может быть восстановлен.
Кто-нибудь может подтвердить мою оценку? Кроме того, если это так, можете ли вы подтвердить, что это лишит меня возможности использовать GADS на основании его требований? Существует также атрибут "userPassword", который имеет значение: (не строковые данные). Что это может быть?
2 ответа
Я не уверен, как это работает с более новыми вариантами сервера OS X, но по крайней мере до 10.6 это было правильно. Они использовали специальный сервер паролей, который имел зашифрованную базу данных паролей в различных хеш-форматах, которые могли запрашиваться всеми типами сервисов (некоторые из них были специально модифицированы для этого, например, сервер Apple Samba), но было невозможно получить пароли из него, например, для миграции на "стандартный" сервер OpenLDAP.
Насколько я знаю, в более поздних версиях сервер OS X просто отключился, но основная структура осталась прежней.
Я не могу ничего сказать об этом, хотя может иметь отношение к GADS.
Рэнди Сикс задокументировал, как он смог использовать логины и пароли Open Directory при развертывании Google Apps для образования. Его руководство по интеграции доступно в формате PDF здесь: