Formatet på URI:n måste stämma med formatet som definieras i RFC 2732:

ldap[s]://<värd>[:port]

För explicita IPv6-adresser måste <host> vara omslutet av hakparenteser []

exempel: ldap://[fc00::126:25]:389

För att aktivera tjänsteuppslagning måste ldap_chpass_dns_service_name vara satt.

Standard: tomt, d.v.s. ldap_uri används.

Med början med SSSD 1.7.0 stödjer SSSD flera sökbaser genom att använda syntaxen:

sökbas[?räckvidd?[filter][?sökbas?räckvidd?[filter]]*]

Räckvidden kan vara en av ”base”, ”onelevel” eller ”subtree”.

Filtret måste vara ett korrekt LDAP-sökfilter som specificerat i http://www.ietf.org/rfc/rfc2254.txt

Exempel:

ldap_search_base = dc=example,dc=com (vilket är ekvivalent med) ldap_search_base = dc=example,dc=com?subtree?

ldap_search_base = cn=host_specific,dc=example,dc=com?subtree?(host=thishost)?dc=example.com?subtree?

Observera: det stödjs inte att ha flera sökbaser som refererar identiskt namngivna objekt (till exempel, grupper med samma namn i två olika sökbaser). Detta kommer medföra oförutsägbart beteende på klientmaskinerna.

Standard: om inte satt används värdet från attributet defaultNamingContext eller namingContexts från RootDSE:n hos LDAP-servern. Om defaultNamingContext inte finns eller har ett tomt värde används namingContexts. Attributet namingContexts måste ha ett ensamt värde med DN:n hos sökbasen hos LDAP-servern för att detta skall fungera. Flera värden stödjs inte.

Fyra schematyper stödjs för närvarande:

Den huvudsakliga skillnaden mellan dessa schematyper är hur gruppmedlemskap lagras i servern. Med rfc2307 listas gruppmedlemskap med namn i attributet memberUid. Med rfc2307bis och IPA listas gruppmedlemskap av DN och lagras i attributet member. AD-schematypen sätter attributen till att motsvara Active Directory 2008r2-värden.

Standard: rfc2307

Två lägen stödjs för närvarande:

Obs: först etableras en ny förbindelse för att verifiera det aktuella lösenordet genom att binda som användaren som begärde lösenordsändringen. Om det lyckas används denna förbindelse för att ändra lösenordet och därför måste användaren a skrivrätt på attributet userPassword.

Standard: exop

De två mekanismerna som stödjs för närvarande är:

password

obfuscated_password

Standard: password

Standard: posixAccount

Standard: uid (rfc2307, rfc2307bis och IPA), sAMAccountName (AD)

Standard: uidNumber

Standard: gidNumber

Standard: ej satt (LDAP), primaryGroupID (AD)

Standard: gecos

Standard: homeDirectory

Standard: loginShell

Standard: inte satt i det allmänna fallet, objectGUID för AD och ipaUniqueID för IPA

Standard: objectSid för Active Directory, inte satt för andra servrar.

Standard: modifyTimestamp

Standard: shadowLastChange

Standard: shadowMin

Standard: shadowMax

Standard: shadowWarning

Standard: shadowInactive

Standard: shadowExpire

Standard: krbLastPwdChange

Standard: krbPasswordExpiration

Standard: accountExpires

Standard: userAccountControl

Standard: nsAccountLock

Standard: loginDisabled

Standard: loginDisabled

Standard: loginAllowedTimeMap

Standard: krbPrincipalName

Listan kan antingen innehålla endast LDAP-attributnamn, eller kolonseparerade tupler av SSSD-cacheattribut och LDAP-attributnamn. Ifall endast LDAP-attributnamn anges sparas attributet i cachen ordagrant. Att använda ett anpassat SSSD-attributnamn kan vara nödvändigt i miljöer som konfigurerar flera SSSD-domäner med olika LDAP-scheman.

Observera att flera attributnamn är reserverade av SSSD, speciellt attributet “name”. SSSD rapporterar ett fel om något av de reserverade attributnamnen används som ett extra attributnamn.

Exempel:

ldap_user_extra_attrs = telephoneNumber

Spara attributet “telephoneNumber” från LDAP som “telephoneNumber” i cachen.

ldap_user_extra_attrs = phone:telephoneNumber

Spara attributet “telephoneNumber” från LDAP som “phone” i cachen.

Standard: inte satt

Standard: sshPublicKey

Standard: false

Standard: 300

Att sätta detta alternativ till noll kommer avaktivera rensningsoperationen för cachen. Observera att om uppräkning är aktiverat krävs rensningsjobbet för att upptäcka poster som tas bort från servern och inte kan avaktiveras. Som standard kör rensningsjobbet var 3:e timma när uppräkning är aktiverat.

Standard: 0 (avaktiverat)

Standard: cn

Standard: memberOf

Ett explicit nekande (!svc) avgörs först. Därefter söker SSSD efter explicit tillåtelse (svc) och slutligen efter allow_all (*).

Observera att konfigurationsalternativet ldap_access_order måste innehållla “authorized_service” för att alternativet ldap_user_authorized_service skall fungera.

Standard: authorizedService

Ett explicit nekande (!host) avgörs först. Därefter söker SSSD efter explicit tillåtelse (host) och slutligen efter allow_all (*).

Observera att konfigurationsalternativet ldap_access_order måste innehållla “host” för att alternativet ldap_user_authorized_host skall fungera.

Standard: host

Ett explicit nekande (!rhost) avgörs först. Därefter söker SSSD efter explicit tillåtelse (rhost) och slutligen efter allow_all (*).

Observera att konfigurationsalternativet ldap_access_order måste innehållla “rhost” för att alternativet ldap_user_authorized_rhost skall fungera.

Standard: rhost

Standard: userCertificate;binary

Observera: om en e-postadress för användaren står i konflikt med en e-postadress eller fullt kvalificerat namn för en annan användare, då kommer SSSD inte kunna serva dessa användare ordentligt. Om flera användare av något skäl behöver dela samma e-postadress, sätt då detta attributnamn till ett som inte finns för att avaktivera uppslagning/inloggning av användare via e-post.

Standard: mail

Standard: posixGroup

Standard: cn (rfc2307, rfc2307bis och IPA), sAMAccountName (AD)

Standard: gidNumber

Standard: memberuid (rfc2307) / member (rfc2307bis)

Standard: inte satt i det allmänna fallet, objectGUID för AD och ipaUniqueID för IPA

Standard: objectSid för Active Directory, inte satt för andra servrar.

Standard: modifyTimestamp

Detta attribut används för närvarande bara av AD-leverantören för att avgöra om en domänlokal grupp och behöver filtreras bort för betrodda domäner.

Standard: groupType i AD-leverantören, inte satt annars

Standard: ipaExternalMember i IPA-leverantören, inte satt annars

Obs: detta alternativ anger den garanterade nivån av nästade grupper som skall bearbetas för en godtycklig uppslagning. Dock kan nästade grupper utöver denna gräns returneras om tidigare uppslagningar redan har slagit upp de djupare nästningsnivåerna. Följande uppslagningar för andra grupper kan också utöka resultatmängden för den ursprungliga uppslagningen om den slås upp igen.

Om ldap_group_nesting_level sätts till 0 bearbetas inga nästade grupper alls. Dock krävs det dessutom att användningen av Token-Groups avaktiveras vid anslutning till Active-Directory Server 2008 och senare vid användning av “id_provider=ad” genom att sätta ldap_use_togengroups till false för att begränsa gruppnästning.

Standard: 2

In most common cases, it is best to leave this option disabled. It generally only provides a performance increase on very complex nestings.

If this option is enabled, SSSD will use it if it detects that the server supports it during initial connection. So "True" here essentially means "auto-detect".

Note: This feature is currently known to work only with Active Directory 2008 R1 and later. See MSDN(TM) documentation[1] for more details.

Default: False

If this option is enabled, SSSD will use it if it detects that the server supports it during initial connection. So "True" here essentially means "auto-detect".

Note: This feature is currently known to work only with Active Directory 2008 R1 and later. See MSDN(TM) documentation[1] for more details.

Default: False

Standard: true för AD och IPA annars false.

I IPA-leverantören skall ipa_netgroup_object_class användas istället.

Standard: nisNetgroup

I IPA-leverantören skall ipa_netgroup_name användas istället.

Standard: cn

I IPA-leverantören skall ipa_netgroup_member användas istället.

Standard: memberNisNetgroup

Detta alternativ är inte tillgängligt i IPA-leverantören.

Standard: nisNetgroupTriple

Detta alternativ är inte tillgängligt i IPA-leverantören.

Standard: modifyTimestamp

Standard: ipService

Standard: cn

Standard: fqdn

Standard: serverHostname

Standard: memberOf

Se “ldap_search_base” för information om konfiguration av multipla sökbaser.

Standard: värdet på ldap_search_base

Standard: sshPublicKey

Standard: inte satt

Standard: ipService

Standard: cn

Standard: ipServicePort

Standard: ipServiceProtocol

syntax:

search_base[?scope?[filter][?search_base?scope?[filter]]*]

The scope can be one of "base", "onelevel" or "subtree". The scope functions as specified in section 4.5.1.2 of http://tools.ietf.org/html/rfc4511

Filtret måste vara ett korrekt LDAP-sökfilter som specificerat i http://www.ietf.org/rfc/rfc2254.txt

For examples of this syntax, please refer to the “ldap_search_base” examples section.

Standard: värdet på ldap_search_base

Please note that specifying scope or filter is not supported for searches against an Active Directory Server that might yield a large number of results and trigger the Range Retrieval extension in the response.

Obs: detta alternativ kan komma att ändras i framtida versioner av SSSD. Det kommer sannolikt ersättas vid någon tidpunkt med en serie tidsgränser för specifika uppslagningstyper.

Standard: 6

Standard: 60

Standard: 6

Standard: 6

Standard: 900 (15 minuter)

Standard: 1000

Exempel: OpenLDAP-servrar med flödesstyrningsmodulen installerad på servern men inte aktiverad kommer rapportera det i RootDSE:n men inte kunna använda den.

Exempel: 389 DS har ett fel där den endast kan stödja en flödesstyrning åt gången på en enskild förbindelse. På aktiva klienter kan detta resultera i att några begäranden nekas.

Default: False

Active Directory begränsar antalet medlemmar som kan hämtas i en enskild uppslagning med policyn MaxValRange (vilket som standard är 1500 medlemmar). Om en grupp innehåller fler medlemmar skulle svaret innehålla en AD-specifik intervallutökning. Detta alternativ avaktiverar tolkning av intervallutökningar, därför kommer stora grupper förefalla inte ha några medlemmar.

Default: False

Standard: använd systemstandard (vanligen angivet i ldap.conf)

Standard: använd systemstandard (vanligen angivet i ldap.conf)

Du kan slå av derefereringsuppslagningar helt genom att sätta värdet till 0. Observera att det finns några kodvägar i SSSD, som IPA HBAC-leverantören, som endast är implementerade med derefereringsanropet, så att även med dereferens uttryckligen avaktiverat kommer dessa delar åndå använda dereferenser om servern stödjer det och annonserar derefereringsstyrning i rootDSE-objektet.

En derefereringsuppslagning är ett sätt att hämta alla gruppmedlemmar i ett enda LDAP-anrop. Olika LDAP-servrar kan implementera olika derefereringsmetoder. De servrar som stödjs för närvarande är 389(RHDS, OpenLDAP och Active Directory.

Obs: om någon av sökbaserna anger ett sökfilter, då kommer prestandaförbättringen med derefereringsuppslagningar avaktiveras oavsett denna inställning.

Standard: 10

never = Klienten kommer inte begära eller kontrollera några servercertifikat.

allow = Servercertifikatet begärs. Om inget certifikat tillhandahålls fortsätter sessionen normalt. Om ett felaktigt certifikat tillhandahålls kommer det ignoreras och sessionen fortsätta normalt.

try = Servercertifikatet begärs. Om inget certifikat tillhandahålls fortsätter sessionen normalt. Om ett felaktigt certifikat tillhandahålls avslutas sessionen omedelbart.

demand = Servercertifikatet begärs. Om inget certifikat tillhandahålls eller ett felaktigt certifikat tillhandahålls avslutas sessionen omedelbart.

hard = Samma som “demand”

Standard: hard

Standard: använd standardvärden för OpenLDAP, typiskt i /etc/openldap/ldap.conf

Standard: använd standardvärden för OpenLDAP, typiskt i /etc/openldap/ldap.conf

Standard: inte satt

Standard: inte satt

Standard: använd standardvärden för OpenLDAP, typiskt i /etc/openldap/ldap.conf

Standard: false

För närvarande stödjer denna funktion endast Active Direcotory objectSID

Standard: false

Standard: inte satt (båda alternativen är satta till 0)

Om bakänden stödjer underdomäner ärvs automatiskt värdet av ldap_sasl_mech till underdomänerna. Om ett annat värde behövs för en underdomän kan det skrivas över genom att sätta ldap_sasl_mech för denna underdomän explicit. Se avsnittet SEKTIONEN BETRODDA DOMÄNER i sssd.conf(5) för detaljer.

Standard: inte satt

värdnamn@RIKE
netbiosnamn$@RIKE
host/värdnamn@RIKE
*$@RIKE
host/*@RIKE
host/*


                            

Om ingen av dem kan hittas returneras den första huvudmannen i keytab.

Standard: host/värdnamn@RIKE

Standard: värdet på krb5_realm.

Standard: false;

Standard: Systemets keytab, normalt /etc/krb5.keytab

Standard: true

Standard: 86400 (24 timmar)

När tjänsteupptäckt används för KDC eller kpasswd-servrar söker SSSD först efter DNS-poster som anger _udp som protokoll och provar sedan _tcp om inget hittas.

Dettas alternativ hade namnet “krb5_kdcip” i tidigare utgåvor av SSSD. Medan det äldre namnet känns igen tills vidare rekommenderas användare att migrera sina konfigurationsfiler till att använda “krb5_server” istället.

Standard: Systemstandard, se /etc/krb5.conf

Standard: false

Se manualsidan sssd_krb5_locator_plugin(8) för mer information om lokaliseringsinsticksmodulen.

Standard: true

none – Ingen utvärdering på klientsidan. Detta alternativ kan inte avaktivera lösenordspolicyer på serversidan.

shadow – Använd attribut i stilen shadow(5) för att utvärdera om lösenordet har gått ut.

mit_kerberos – Använd attributen som används av MIT Kerberos för att avgöra om lösenordet har gått ut. Använd chpass_provider=krb5 för att uppdatera dessa attribut när läsenordet ändras.

Standard: none

Obs: om en lösenordspolicy konfigureras på serversidan kommer den alltid gå före framför policyn som sätts med detta alternativ.

Observera att sssd endast stödjer uppföljning av referenser när den är kompilerad med OpenLDAP version 2.4.13 eller senare.

Att följa upp referenser kan orsaka en prestandaförlust i miljöer som använder dem mycket, ett notabelt exempel är Microsoft Active Directory. Om din uppsättning inte faktiskt behöver använda referenser kan att sätta detta alternativ till falskt medföra en märkbar prestandaförbättring.

Standard: true

Standard: ldap

Standard: inte satt, d.v.s. tjänsteupptäckt är avaktiverat

Default: False

Exempel:

access_provider = ldap
ldap_access_filter = (employeeType=admin)


                        

Detta exempel betyder att åtkomst till denna värd är begränsad till användare vars attribut employeeType är satt till ”admin”.

Frånkopplad cachning för denna funktion är begränsad till att avgöra huruvida användarens senaste uppkopplade inloggning tilläts åtkomsträttigheter. Om de tilläts vid senaste inloggningen kommmer de fortsätta ges åtkomst under frånkoppling, och vice versa.

Standard: Empty

Observera att det alltid är rekommenderat att använda åtkomstkontroll på serversidan, d.v.s. LDAP-servern skall neka bindningsbegäran med en passande felkod även om lösenordet är korrekt.

Följande värden är tillåtna:

shadow: använd värdet på ldap_user_shadow_expire för att avgöra om kontot har gått ut.

ad: använd värdet på 32-bitarsfältet ldap_user_ad_user_account_control och tillåt åtkomst om den andra biten är satt eller inte. Om attributet saknas tillåts åtkomst. Utgångstiden för kontot kontrolleras också.

rhds, ipa, 389ds: använd värdet på ldap_ns_account_lock för att avgöra om åtkomst tillåts eller inte.

nds: värdena på ldap_user_nds_login_allowed_time_map, ldap_user_nds_login_disabled och ldap_user_nds_login_expiration_time används för att avgöra om åtkomst tillåts. Om båda attributen saknas tillåts åtkomst. This is an experimental feature, please use https://pagure.io/SSSD/sssd/ to report any issues.

Observera att konfigurationsalternativet ldap_access_order måste innehålla “expire” för att alternativet ldap_account_expire_policy skall fungera.

Standard: Empty

filter: använd ldap_access_filter

lockout: använd kontolåsning. Om satt nekar detta alternativ åtkomst ifall ldap-attributet ”pwdAccountLockedTime” finns och har värdet ”000001010000Z”. Se alternativet ldap_pwdlockout_dn. Observera att ”access_provider = ldap” måste vara satt för att denna funktion skall fungera.

Observera att detta alternativ ersätts av alternativet “ppolicy” och kan komma att tas bort i en framtida utgåva.

ppolicy: använd kontolåsning. Om satt nekar detta alternativ åtkomst ifall ldap-attributet ”pwdAccountLockedTime” finns och har värdet ”000001010000Z” eller representerar en tidpunkt i det förgångna. Värdet på attributet ”pwdAccountLockedTime” måste sluta med ”Z”, som markerar tidszonen UTC. Andra tidszoner stödjs för närvarande inte och kommer resultera i ”access-denied” när användare försöker logga in. Se alternativet ldap_pwdlockout_dn. Observera att ”access_provider = ldap” måste vara satt för att denna funktion skall fungera.

expire: använd ldap_account_expire_policy

pwd_expire_policy_reject, pwd_expire_policy_warn, pwd_expire_policy_renew: Dessa alternativ är användbara om användare vill bli varnade att lösenordet är på gång att gå ut och autentisering är baserat på användning av en annan metod än lösenord – till exempel SSH-nycklar.

Skillnadem mellan dessa alternativ är åtgärden som vidtas om användarens lösenord gått ut: pwd_expire_policy_reject – användaren nekas att logga in, pwd_expire_policy_warn – användaren kan fortfarande logga in, pwd_expire_policy_renew – användaren ombeds ändra sitt lösenord omedelbart.

Observera att om användarlösenordet har gått ut ges inget särskilt meddelande av SSSD.

Observera att ”access_provider = ldap” måste vara satt för att denna funktion skall fungera. ”ldap_pwd_policy” måste också vara satt till en lämplig lösenordspolicy.

authorized_service: använd attrobitet authorizedService för att avgöra åtkomst

host: använd attributet host för att avgöra åtkomst

rhost: använd attrobitet rhost för att avgöra huruvida fjärrvärdar kan få åtkomst

Observera, rhost-fältet i pam sätts av programmet, det är bättre att kontrollera vad programmet skickar till pam, före detta alternativ för åtkomstkontroll aktiveras

Standard: filter

Observera att det är ett konfigurationsfel om ett värde används mer än en gång.

Exempel: cn=ppolicy,ou=policies,dc=exempel,dc=se

Standard: cn=ppolicy,ou=policies,$ldap_search_base

never: Alias är aldrig derefererade.

searching: Alias derefereras i underordnade till basobjektet, men inte vid lokalisering basobjektet för sökningen.

finding: Alias derefereras endast vid lokalisering av basobjektet för sökningen.

always: Alias derefereras både i sökning och i lokalisering av basobjektet för sökningen.

Standard: Tomt (detta hanteras som never av LDAP-klientbiblioteken)

I en del miljöer där schemat RFC2307 används görs lokala användare till medlemmar i LDAP-grupper genom att lägga till deras namn till attributet memberUid. Den interna konsistensen i domänen bryts när detta görs, så SSSD skulle normalt ta bort de ”saknade” användarna från de cachade gruppmedlemskapen så fort nsswitch försöker hämta information om användaren via anrop av getpw*() eller initgroups().

Detta alternativ faller tillbaka på att kontrollera om lokala användare är refererade, och cachar dem så att senare anrop av initgroups() kommer utöka de lokala användarna med de extra LDAP-grupperna.

Standard: false

För närvarande stödjer endast respondenten InfoPipe jockeruppslagningar.

Standard: 1000 (ofta storleken på en sida)

Standard: sudoRole

Standard: cn

Standard: sudoCommand

Standard: sudoHost

Standard: sudoUser

Standard: sudoOption

Standard: sudoRunAsUser

Standard: sudoRunAsGroup

Standard: sudoNotBefore

Standard: sudoNotAfter

Standard: sudoOrder

Värdet måste vara större än ldap_sudo_smart_refresh_interval

Standard: 21600 (6 timmar)

Om USN-attribut inte stödjs av servern används attributet modifyTimestamp istället.

Note: the highest USN value can be updated by three tasks: 1) By sudo full and smart refresh (if updated rules are found), 2) by enumeration of users and groups (if enabled and updated users or groups are found) and 3) by reconnecting to the server (by default every 15 minutes, see ldap_connection_expire_timeout).

Standard: 900 (15 minuter)

Standard: true

Om detta alternativ är tomt kommer SSSD försöka upptäcka värdnamnet och det fullständigt kvalificerade domännamnet automatiskt.

Om ldap_sudo_use_host_filter är false har detta alternativ ingen effekt.

Standard: inte angivet

Om detta alternativ är tomt kommer SSSD försöka upptäcka adresser automatiskt.

Om ldap_sudo_use_host_filter är false har detta alternativ ingen effekt.

Standard: inte angivet

Om ldap_sudo_use_host_filter är false har detta alternativ ingen effekt.

Standard: true

Om ldap_sudo_use_host_filter är false har detta alternativ ingen effekt.

Standard: true

Standard: auto.master

Standard: nisMap (rfc2307, autofs_provider=ad), annars automountMap

Standard: nisMapName (rfc2307, autofs_provider=ad), annars automountMapName

Standard: nisObject (rfc2307, autofs_provider=ad), annars automount

Standard: cn (rfc2307, autofs_provider=ad), annars automountKey

Standard: nisMapEntry (rfc2307, autofs_provider=ad), annars automountInformation

syntax:

search_base[?scope?[filter][?search_base?scope?[filter]]*]

The scope can be one of "base", "onelevel" or "subtree". The scope functions as specified in section 4.5.1.2 of http://tools.ietf.org/html/rfc4511

Filtret måste vara ett korrekt LDAP-sökfilter som specificerat i http://www.ietf.org/rfc/rfc2254.txt

For examples of this syntax, please refer to the “ldap_search_base” examples section.

Standard: värdet på ldap_search_base

Please note that specifying scope or filter is not supported for searches against an Active Directory Server that might yield a large number of results and trigger the Range Retrieval extension in the response.

syntax:

search_base[?scope?[filter][?search_base?scope?[filter]]*]

The scope can be one of "base", "onelevel" or "subtree". The scope functions as specified in section 4.5.1.2 of http://tools.ietf.org/html/rfc4511

Filtret måste vara ett korrekt LDAP-sökfilter som specificerat i http://www.ietf.org/rfc/rfc2254.txt

For examples of this syntax, please refer to the “ldap_search_base” examples section.

Standard: värdet på ldap_search_base

Please note that specifying scope or filter is not supported for searches against an Active Directory Server that might yield a large number of results and trigger the Range Retrieval extension in the response.

syntax:

search_base[?scope?[filter][?search_base?scope?[filter]]*]

The scope can be one of "base", "onelevel" or "subtree". The scope functions as specified in section 4.5.1.2 of http://tools.ietf.org/html/rfc4511

Filtret måste vara ett korrekt LDAP-sökfilter som specificerat i http://www.ietf.org/rfc/rfc2254.txt

For examples of this syntax, please refer to the “ldap_search_base” examples section.

Standard: värdet på ldap_search_base

Please note that specifying scope or filter is not supported for searches against an Active Directory Server that might yield a large number of results and trigger the Range Retrieval extension in the response.

Om alternativet “ldap_use_tokengroups” är aktiverat kommer sökningarna i Active Directory inte vara begränsade och returnera alla gruppmedlemskap, även utan någon GID-översättning. Det rekommenderas att avaktivera denna funktion om gruppnamn inte visas korrekt.

syntax:

search_base[?scope?[filter][?search_base?scope?[filter]]*]

The scope can be one of "base", "onelevel" or "subtree". The scope functions as specified in section 4.5.1.2 of http://tools.ietf.org/html/rfc4511

Filtret måste vara ett korrekt LDAP-sökfilter som specificerat i http://www.ietf.org/rfc/rfc2254.txt

For examples of this syntax, please refer to the “ldap_search_base” examples section.

Standard: värdet på ldap_search_base

Please note that specifying scope or filter is not supported for searches against an Active Directory Server that might yield a large number of results and trigger the Range Retrieval extension in the response.

syntax:

search_base[?scope?[filter][?search_base?scope?[filter]]*]

The scope can be one of "base", "onelevel" or "subtree". The scope functions as specified in section 4.5.1.2 of http://tools.ietf.org/html/rfc4511

Filtret måste vara ett korrekt LDAP-sökfilter som specificerat i http://www.ietf.org/rfc/rfc2254.txt

For examples of this syntax, please refer to the “ldap_search_base” examples section.

Standard: värdet på ldap_search_base

Please note that specifying scope or filter is not supported for searches against an Active Directory Server that might yield a large number of results and trigger the Range Retrieval extension in the response.

[domain/LDAP]
id_provider = ldap
auth_provider = ldap
ldap_uri = ldap://ldap.mindomän.se
ldap_search_base = dc=mindomän,dc=se
ldap_tls_reqcert = demand
cache_credentials = true

[domain/LDAP]
id_provider = ldap
auth_provider = ldap
access_provider = ldap
ldap_access_order = lockout
ldap_pwdlockout_dn = cn=ppolicy,ou=policies,dc=mindomän,dc=se
ldap_uri = ldap://ldap.mindomän.se
ldap_search_base = dc=mindomän,dc=se
ldap_tls_reqcert = demand
cache_credentials = true