Le format de l'URI doit correspondre au format définit dans la RFC 2732 :

ldap[s]://<host>[:port]

Pour les adresses explicitement en IPv6, le composant <host> doit être entre crochets []

exemple : ldap://[fc00::126:25]:389

Pour activer la découverte de services, ldap_chpass_dns_service_name doit être défini.

Par défaut : vide, ldap_uri est donc utilisé.

À partir de SSSD 1.7.0, SSSD prend en charge plusieurs bases de recherche à l'aide de la syntaxe :

search_base[?scope?[filter][?search_base?scope?[filter]]*]

La portée peut être l'une des « base », « onelevel » ou « subtree ».

Le filtre doit être un filtre de recherche LDAP valide tel que spécifié par http://www.ietf.org/rfc/rfc2254.txt

Exemples :

ldap_search_base = dc=example,dc=com (ce qui équivaut à) ldap_search_base = dc=example,dc=com?subtree?

ldap_search_base = cn=host_specific,dc=example,dc=com?subtree?(host=thishost)?dc=example.com?subtree?

Remarque : Il est n'est pas possible d'avoir plusieurs bases de recherche qui référencent des objets portant le même nom (par exemple, les groupes portant le même nom dans deux bases de recherche différents). Cela conduira à un comportement imprévisible sur les ordinateurs clients.

Par défaut : si non définie, les valeurs des attributs defaultNamingContext ou namingContexts du RootDSE du serveur LDAP sont utilisées. Si defaultNamingContext n'existe pas ou a une valeur vide, namingContexts est utilisé. Les attributs namingContexts doivent avoir une seule valeur avec un DN de base de recherche pour le serveur LDAP pour que cela fonctionne. Des valeurs multiples ne sont pas permises.

Quatre types de schéma sont actuellement pris en charge :

La principale différence entre ces types de schéma est la façon dont les appartenances aux groupes sont enregistrés dans le serveur. Avec rfc2307, les membres du groupe sont répertoriées par nom dans l'attribut memberUid. Avec rfc2307bis et IPA, les membres du groupe sont répertoriés par DN et stockées dans l'attribut de member. Le type de schéma AD définit les attributs correspondant aux valeurs d'Active Directory 2008r2.

Par défaut : rfc2307

Two modes are currently supported:

Note: First, a new connection is established to verify current password by binding as the user that requested password change. If successful, this connection is used to change the password therefore the user must have write access to userPassword attribute.

Default: exop

Les deux mécanismes actuellement pris en charge sont :

password

obfuscated_password

Par défaut : password

Par défaut : posixAccount

Default: uid (rfc2307, rfc2307bis and IPA), sAMAccountName (AD)

par défaut : uidNumber

Par défaut : gidNumber

Default: unset (LDAP), primaryGroupID (AD)

Par défaut : gecos

Par défaut : homeDirectory

Par défaut : loginShell

Par défaut : non défini dans le cas général, objectGUID pour AD et ipaUniqueID pour IPA

Default: objectSid for ActiveDirectory, not set for other servers.

Par défaut : modifyTimestamp

Par défaut : shadowLastChange

Par défaut : shadowMin

Par défaut : shadowMax

Par défaut : shadowWarning

Par défaut : shadowInactive

Par défaut : shadowExpire

Par défaut : krbLastPwdChange

Par défaut : krbPasswordExpiration

Par défaut : accountExpires

Par défaut : userAccountControl

Par défaut : nsAccountLock

Par défaut : loginDisabled

Par défaut : loginDisabled

Par défaut : loginAllowedTimeMap

Par défaut : krbPrincipalName

La liste ne peut contenir que des noms d'attributs LDAP, ou des tuples séparés par des virgules de nom d'attribut de cache et nom d'attribut LDAP. Dans le cas où seul le nom d'un attribut LDAP est indiqué, l'attribut est enregistré tel quel dans le cache. L'utilisation d'un nom d'attribut SSSD peut être nécessaire pour les environnements configurant plusieurs domaines SSSD utilisant des schémas LDAP différents.

Veuillez noter que plusieurs noms d'attributs sont réservés par SSSD, dont l'attribut “name”. SSSD émettrait une erreur si l'un des noms d'attributs réservés est utilisé par un nom d'attribut supplémentaire.

Exemples :

ldap_user_extra_attrs = telephoneNumber

Enregistrer l'attribut LDAP “telephoneNumber” en tant que “telephoneNumber” dans le cache.

ldap_user_extra_attrs = phone:telephoneNumber

Enregistrer l'attribut LDAP “telephoneNumber” en tant que “phone” dans le cache.

Par défaut : non défini

Par défaut : sshPublicKey

Par défaut : false

Par défaut : 300

Setting this option to zero will disable the cache cleanup operation. Please note that if enumeration is enabled, the cleanup task is required in order to detect entries removed from the server and can't be disabled. By default, the cleanup task will run every 3 hours with enumeration enabled.

Par défaut : 0 (désactivé)

Par défaut : cn

Par défaut : memberOf

Le refus explicite (!svc) est résolu en premier. Ensuite, SSSD cherche une autorisation explicite (svc) et enfin allow_all (*).

Noter que l'option de configuration ldap_access_order doit inclure “authorized_service” de façon à permettre à l'option ldap_user_authorized_service de fonctionner.

Par défaut : authorizedService

Le refus explicite (!host) est résolu en premier. SSSD recherche ensuite les autorisations explicites (host) et enfin toutes les autorisations (*).

Noter que l'option de configuration ldap_access_order doit inclure “host” de façon à permettre à l'option ldap_user_authorized_host de fonctionner.

Par défaut : host

An explicit deny (!rhost) is resolved first. Second, SSSD searches for explicit allow (rhost) and finally for allow_all (*).

Please note that the ldap_access_order configuration option must include “rhost” in order for the ldap_user_authorized_rhost option to work.

Default: rhost

Default: userCertificate;binary

Note: If an email address of a user conflicts with an email address or fully qualified name of another user, then SSSD will not be able to serve those users properly. If for some reason several users need to share the same email address then set this option to a nonexistent attribute name in order to disable user lookup/login by email.

Default: mail

Par défaut : posixGroup

Default: cn (rfc2307, rfc2307bis and IPA), sAMAccountName (AD)

Par défaut : gidNumber

Par défaut : memberuid (rfc2307) / member (rfc2307bis)

Par défaut : non défini dans le cas général, objectGUID pour AD et ipaUniqueID pour IPA

Default: objectSid for ActiveDirectory, not set for other servers.

Par défaut : modifyTimestamp

Cet attribut est actuellement utilisé uniquement par le fournisseur AD pour déterminer si un groupe est un groupe de domaine local et doit être filtré hors des domaines approuvés.

Default: groupType in the AD provider, otherwise not set

Default: ipaExternalMember in the IPA provider, otherwise unset.

Note: This option specifies the guaranteed level of nested groups to be processed for any lookup. However, nested groups beyond this limit may be returned if previous lookups already resolved the deeper nesting levels. Also, subsequent lookups for other groups may enlarge the result set for original lookup if re-queried.

If ldap_group_nesting_level is set to 0 then no nested groups are processed at all. However, when connected to Active-Directory Server 2008 and later using “id_provider=ad” it is furthermore required to disable usage of Token-Groups by setting ldap_use_tokengroups to false in order to restrict group nesting.

Par défaut : 2

In most common cases, it is best to leave this option disabled. It generally only provides a performance increase on very complex nestings.

If this option is enabled, SSSD will use it if it detects that the server supports it during initial connection. So "True" here essentially means "auto-detect".

Note: This feature is currently known to work only with Active Directory 2008 R1 and later. See MSDN(TM) documentation[1] for more details.

Par défaut : False

If this option is enabled, SSSD will use it if it detects that the server supports it during initial connection. So "True" here essentially means "auto-detect".

Note: This feature is currently known to work only with Active Directory 2008 R1 and later. See MSDN(TM) documentation[1] for more details.

Par défaut : False

Default: True for AD and IPA otherwise False.

Pour un fournisseur IPA, ipa_netgroup_object_class doit être utilisé à la place.

Par défaut : nisNetgroup

Dans le fournisseur IPA, ipa_netgroup_name doit être utilisé à la place.

Par défaut : cn

Dans le fournisseur IPA, ipa_netgroup_member doit être utilisé à la place.

Par défaut : memberNisNetgroup

Cette option n'est pas disponible dans le fournisseur IPA.

Par défaut : nisNetgroupTriple

Cette option n'est pas disponible dans le fournisseur IPA.

Par défaut : modifyTimestamp

Par défaut : ipService

Par défaut : cn

Default: fqdn

Default: serverHostname

Par défaut : memberOf

Cf. “ldap_search_base” pour plus d'informations sur la configuration des bases de recherche multiples.

Par défaut : la valeur de ldap_search_base

Par défaut : sshPublicKey

Par défaut : non défini

Par défaut : ipService

Par défaut : cn

Par défaut : ipServicePort

Par défaut : ipServiceProtocol

syntaxe :

search_base[?scope?[filter][?search_base?scope?[filter]]*]

La portée peut être l'une des « base », « onelevel » ou « subtree ». Les fonctions de portée sont spécifiées dans la section 4.5.1.2 de http://tools.ietf.org/html/rfc4511

Le filtre doit être un filtre de recherche LDAP valide tel que spécifié par http://www.ietf.org/rfc/rfc2254.txt

Pour obtenir des exemples de cette syntaxe, reportez-vous à la section d'exemples “ldap_search_base”.

Par défaut : la valeur de ldap_search_base

Noter que la spécification de portée ou de filtre n'est pas prise en charge pour les recherches sur un serveur Active Directory qui serait susceptible de produire un grand nombre de résultats et de déclencher l'extension Range Retrieval dans sa réponse.

Note : cette option est susceptible de changer dans les prochaines version de SSSD. Elle sera sûrement remplacée par une série de délais d'attente pour différents types de recherches.

Par défaut : 6

Par défaut : 60

Par défaut : 6

Par défaut : 6

Par défaut : 900 (15 minutes)

Par défaut : 1000

Exemple : le serveurs OpenLDAP avec le module de contrôle de pagination installé sur le serveur mais non activé le signaleront dans RootDSE mais il sera impossible de l'utiliser.

Exemple : 389 DS a un bogue où il ne peut que soutenir qu'un seul contrôle de pagination à la fois sur une connexion donnée. Sur les clients chargés, cela peut entraîner l'échec de certaines demandes.

Par défaut : False

Active Directory limite le nombre de membres à récupérer par recherche à l'aide de la stratégie MaxValRange (qui prend la valeur par défaut de 1500 membres). Si un groupe contient plus de membres, la réponse inclura une extension de plage spécifique à Active Directory. Cette option désactive l'analyse de cette extension de plage, les groupes de grande taille apparaissant ainsi sans aucun membre.

Par défaut : False

Par défaut : Utiliser la valeur par défaut du système (généralement spécifié par ldap.conf)

Par défaut : Utiliser la valeur par défaut du système (généralement spécifié par ldap.conf)

You can turn off dereference lookups completely by setting the value to 0. Please note that there are some codepaths in SSSD, like the IPA HBAC provider, that are only implemented using the dereference call, so even with dereference explicitly disabled, those parts will still use dereference if the server supports it and advertises the dereference control in the rootDSE object.

Une recherche de déréférencement est un moyen pour récupérer tous les membres d'un groupe avec un seul appel LDAP. Plusieurs serveurs LDAP peuvent avoir différentes méthodes de déréférencement. Les serveurs actuellement acceptés sont 389/RHDS, OpenLDAP et Active Directory.

Remarque : Si l'une des bases de recherche spécifie un filtre de recherche, alors l'amélioration de la performance de recherche de déréférencement est désactivée indépendamment de ce paramètre.

Par défaut : 10

never : le client ne demandera ni ne vérifiera un quelconque certificat du serveur.

allow : le certificat serveur est demandé. Si aucun certificat n'est fournit, la session continue normalement. Si un mauvais certificat est fourni, il est ignoré et la session continue normalement.

try : le certificat serveur est demandé. Si aucun certificat n'est fourni, la session continue normalement. Si un mauvais certificat est fourni, la session se termine immédiatement.

demand : le certificat serveur est demandé. Si aucun certificat ou un mauvais certificat est fourni, la session se termine immédiatement.

hard : identique à “demand”

Par défaut : hard

Par défaut : utilise les paramètres par défaut de OpenLDAP, en général dans /etc/openldap/ldap.conf

Par défaut : utilise les paramètres par défaut de OpenLDAP, en général dans /etc/openldap/ldap.conf

Par défaut : non défini

Par défaut : non défini

Par défaut : utilise les paramètres par défaut de OpenLDAP, en général dans /etc/openldap/ldap.conf

Par défaut : false

Cette fonctionnalité ne prend actuellement en charge que la correspondance par objectSID avec Active Directory.

Par défaut : false

Par défaut : non indiqué (les deux options sont à 0)

If the backend supports sub-domains the value of ldap_sasl_mech is automatically inherited to the sub-domains. If a different value is needed for a sub-domain it can be overwritten by setting ldap_sasl_mech for this sub-domain explicitly. Please see TRUSTED DOMAIN SECTION in sssd.conf(5) for details.

Par défaut : non défini

hostname@REALM
netbiosname$@REALM
host/hostname@REALM
*$@REALM
host/*@REALM
host/*


                            

If none of them are found, the first principal in keytab is returned.

Par défaut : host/hostname@REALM

Par défaut : la valeur de krb5_realm.

Défaut : false;

Par défaut : le fichier keytab du système, normalement /etc/krb5.keytab

Par défaut : true

Par défaut : 86400 (24 heures)

Lors de l'utilisation de découverte de services pour le KDC ou les serveurs kpasswd, SSSD recherche en premier les entrées DNS qui définissent _udp comme protocole, et passe sur _tcp si aucune entrée n'est trouvée.

Cette option s'appelait “krb5_kdcip” dans les versions précédentes de SSSD. Bien que ce nom soit toujours reconnu à l'heure actuelle, il est conseillé de migrer les fichiers de configuration vers l'utilisation de “krb5_server”.

Par défaut : valeur par défaut du système, voir /etc/krb5.conf

Par défaut : false

Consulter la page de manuel de sssd_krb5_locator_plugin(8) pour plus d'informations sur le greffon de localisation.

Par défaut : true

none : aucun évaluation du côté client. Cette option ne peut pas désactiver la politique sur les mots de passe du côté serveur.

shadow - Utiliser les attributs de style shadow(5) pour évaluer si le mot de passe a expiré.

mit_kerberos : utilise les attributs utilisés par MIT Kerberos pour déterminer si le mot de passe a expiré. Utiliser chpass_provider=krb5 afin de modifier ces attributs lorsque le mot de passe est changé.

Par défaut : aucun

Note : si une politique de mots de passe est configurée côté serveur, elle prend le pas sur la politique indiquée avec cette option.

Veuillez noter que sssd ne supporte que le déréférencement que lorsqu'il est compilé avec OpenLDAP version 2.4.13 ou supérieur.

La déréférenciation de références peut subir une altération notable des performances dans les environnements qui les utilisent fortement, un exemple notable étant Microsoft Active Directory. Si votre installation ne nécessite pas l'utilisation des références, affecter false à cette option devrait permettre d'améliorer de façon notable les performances.

Par défaut : true

Par défaut : ldap

Par défaut : non défini, c'est-à-dire que le service de découverte est désactivé.

Par défaut : False

Exemple :

access_provider = ldap
ldap_access_filter = (employeeType=admin)


                        

Cet exemple signifie que l'accès à cet hôte est restreint aux utilisateurs dont l'attribut employeeType est « admin ».

Offline caching for this feature is limited to determining whether the user's last online login was granted access permission. If they were granted access during their last login, they will continue to be granted access while offline and vice versa.

Par défaut : vide

Veuillez noter qu'il est toujours recommandé d'utiliser un contrôle d'accès du côté serveur, c'est-à-dire que le serveur LDAP doit refuser une requête de connexion avec un code erreur approprié même si le mot de passe est correct.

Les valeurs suivantes sont autorisées :

shadow : utiliser la valeur de ldap_user_shadow_expire pour déterminer si le compte a expiré.

ad : utilise la valeur du champ 32 bits ldap_user_ad_user_account_control et autorise l'accès si le deuxième bit n'est pas défini. Si l'attribut est manquant, l'accès est autorisé. La date d'expiration du compte est aussi vérifiée.

rhds, ipa, 389ds : utilise la valeur de ldap_ns_account_lock afin de vérifier si l'accès est autorisé ou non.

nds : les valeurs de ldap_user_nds_login_allowed_time_map, ldap_user_nds_login_disabled et ldap_user_nds_login_expiration_time sont utilisées pour vérifier si l'accès est autorisé. Si les deux attributs sont manquants, l'accès est autorisé. This is an experimental feature, please use https://pagure.io/SSSD/sssd/ to report any issues.

Noter que l'option de configuration ldap_access_order doit inclure “expire” de façon à permettre à l'option ldap_account_expire_policy de fonctionner.

Par défaut : vide

filter : utiliser ldap_access_filter

lockout: use account locking. If set, this option denies access in case that ldap attribute 'pwdAccountLockedTime' is present and has value of '000001010000Z'. Please see the option ldap_pwdlockout_dn. Please note that 'access_provider = ldap' must be set for this feature to work.

Please note that this option is superseded by the “ppolicy” option and might be removed in a future release.

ppolicy: use account locking. If set, this option denies access in case that ldap attribute 'pwdAccountLockedTime' is present and has value of '000001010000Z' or represents any time in the past. The value of the 'pwdAccountLockedTime' attribute must end with 'Z', which denotes the UTC time zone. Other time zones are not currently supported and will result in "access-denied" when users attempt to log in. Please see the option ldap_pwdlockout_dn. Please note that 'access_provider = ldap' must be set for this feature to work.

expire: utiliser ldap_account_expire_policy

pwd_expire_policy_reject, pwd_expire_policy_warn, pwd_expire_policy_renew: These options are useful if users are interested in being warned that password is about to expire and authentication is based on using a different method than passwords - for example SSH keys.

The difference between these options is the action taken if user password is expired: pwd_expire_policy_reject - user is denied to log in, pwd_expire_policy_warn - user is still able to log in, pwd_expire_policy_renew - user is prompted to change his password immediately.

Note If user password is expired no explicit message is prompted by SSSD.

Please note that 'access_provider = ldap' must be set for this feature to work. Also 'ldap_pwd_policy' must be set to an appropriate password policy.

authorized_service : utiliser l'attribut authorizedService pour déterminer l'accès

host : utilise l'attribut host pour déterminer l'accès

rhost: use the rhost attribute to determine whether remote host can access

Please note, rhost field in pam is set by application, it is better to check what the application sends to pam, before enabling this access control option

Par défaut : filter

Veuillez noter qu'une valeur utilisée plusieurs fois résulte en une erreur de configuration.

Exemple : cn=ppolicy,ou=policies,dc=example,dc=com

Default: cn=ppolicy,ou=policies,$ldap_search_base

never : les alias ne sont jamais déréférencés.

searching : Les alias sont déréférencés comme des subordonnés de l'objet de base, mais pas en localisant l'objet de base de la recherche.

finding : les alias sont seulement déréférencés lors de la localisation de l'objet de base de la recherche.

always : les alias sont déréférencés à la fois pour la recherche et et la localisation de l'objet de base de la recherche.

Par défaut : vide (ceci est traité comme never par les bibliothèques clientes LDAP)

Dans certains environnements où le schéma RFC2307 est utilisé, les utilisateurs locaux deviennent membres du groupes LDAP en ajoutant leurs noms à l'attribut memberUid. La cohérence du domaine est compromise quand cela est fait, SSSD supprimerait normalement les utilisateurs « disparus » des appartenances aux groupes mises en cache dès que nsswitch essaie de récupérer des informations sur l'utilisateur via des appels à getpw*() ou initgoups().

Cette option vérifie en dernier recours si les utilisateurs locaux sont référencés et les met en cache afin que des appels ultérieurs à initgoups() ajoutent les utilisateurs locaux aux groupes LDAP.

Par défaut : false

At the moment, only the InfoPipe responder supports wildcard lookups.

Default: 1000 (often the size of one page)

Par défaut : sudoRole

Par défaut : cn

Par défaut : sudoCommand

Par défaut : sudoHost

Par défaut : sudoUser

Par défaut : sudoOption

Par défaut : sudoRunAsUser

Par défaut : sudoRunAsGroup

Par défaut : sudoNotBefore

Par défaut : sudoNotAfter

Par défaut : sudoOrder

La valeur doit être supérieure à ldap_sudo_smart_refresh_interval

Par défaut : 21600 (6 heures)

Si les attributs USN ne sont pas pris en charge par le serveur, l'attribut modifyTimestamp est utilisé à la place.

Note: the highest USN value can be updated by three tasks: 1) By sudo full and smart refresh (if updated rules are found), 2) by enumeration of users and groups (if enabled and updated users or groups are found) and 3) by reconnecting to the server (by default every 15 minutes, see ldap_connection_expire_timeout).

Par défaut : 900 (15 minutes)

Par défaut : true

Si cette option est vide, SSSD va essayer de découvrir automatiquement le nom de système et le nom de domaine pleinement qualifié.

Si ldap_sudo_use_host_filter est false, alors cette option n'a aucun effet.

Par défaut : non spécifié

Si cette option est vide, SSSD va essayer de découvrir les adresses automatiquement.

Si ldap_sudo_use_host_filter est false, alors cette option n'a aucun effet.

Par défaut : non spécifié

Si ldap_sudo_use_host_filter est false, alors cette option n'a aucun effet.

Par défaut : true

Si ldap_sudo_use_host_filter est false, alors cette option n'a aucun effet.

Par défaut : true

Par défaut : auto.master

Default: nisMap (rfc2307, autofs_provider=ad), otherwise automountMap

Default: nisMapName (rfc2307, autofs_provider=ad), otherwise automountMapName

Default: nisObject (rfc2307, autofs_provider=ad), otherwise automount

Default: cn (rfc2307, autofs_provider=ad), otherwise automountKey

Default: nisMapEntry (rfc2307, autofs_provider=ad), otherwise automountInformation

syntaxe :

search_base[?scope?[filter][?search_base?scope?[filter]]*]

La portée peut être l'une des « base », « onelevel » ou « subtree ». Les fonctions de portée sont spécifiées dans la section 4.5.1.2 de http://tools.ietf.org/html/rfc4511

Le filtre doit être un filtre de recherche LDAP valide tel que spécifié par http://www.ietf.org/rfc/rfc2254.txt

Pour obtenir des exemples de cette syntaxe, reportez-vous à la section d'exemples “ldap_search_base”.

Par défaut : la valeur de ldap_search_base

Noter que la spécification de portée ou de filtre n'est pas prise en charge pour les recherches sur un serveur Active Directory qui serait susceptible de produire un grand nombre de résultats et de déclencher l'extension Range Retrieval dans sa réponse.

syntaxe :

search_base[?scope?[filter][?search_base?scope?[filter]]*]

La portée peut être l'une des « base », « onelevel » ou « subtree ». Les fonctions de portée sont spécifiées dans la section 4.5.1.2 de http://tools.ietf.org/html/rfc4511

Le filtre doit être un filtre de recherche LDAP valide tel que spécifié par http://www.ietf.org/rfc/rfc2254.txt

Pour obtenir des exemples de cette syntaxe, reportez-vous à la section d'exemples “ldap_search_base”.

Par défaut : la valeur de ldap_search_base

Noter que la spécification de portée ou de filtre n'est pas prise en charge pour les recherches sur un serveur Active Directory qui serait susceptible de produire un grand nombre de résultats et de déclencher l'extension Range Retrieval dans sa réponse.

syntaxe :

search_base[?scope?[filter][?search_base?scope?[filter]]*]

La portée peut être l'une des « base », « onelevel » ou « subtree ». Les fonctions de portée sont spécifiées dans la section 4.5.1.2 de http://tools.ietf.org/html/rfc4511

Le filtre doit être un filtre de recherche LDAP valide tel que spécifié par http://www.ietf.org/rfc/rfc2254.txt

Pour obtenir des exemples de cette syntaxe, reportez-vous à la section d'exemples “ldap_search_base”.

Par défaut : la valeur de ldap_search_base

Noter que la spécification de portée ou de filtre n'est pas prise en charge pour les recherches sur un serveur Active Directory qui serait susceptible de produire un grand nombre de résultats et de déclencher l'extension Range Retrieval dans sa réponse.

If the option “ldap_use_tokengroups” is enabled, the searches against Active Directory will not be restricted and return all groups memberships, even with no GID mapping. It is recommended to disable this feature, if group names are not being displayed correctly.

syntaxe :

search_base[?scope?[filter][?search_base?scope?[filter]]*]

La portée peut être l'une des « base », « onelevel » ou « subtree ». Les fonctions de portée sont spécifiées dans la section 4.5.1.2 de http://tools.ietf.org/html/rfc4511

Le filtre doit être un filtre de recherche LDAP valide tel que spécifié par http://www.ietf.org/rfc/rfc2254.txt

Pour obtenir des exemples de cette syntaxe, reportez-vous à la section d'exemples “ldap_search_base”.

Par défaut : la valeur de ldap_search_base

Noter que la spécification de portée ou de filtre n'est pas prise en charge pour les recherches sur un serveur Active Directory qui serait susceptible de produire un grand nombre de résultats et de déclencher l'extension Range Retrieval dans sa réponse.

syntaxe :

search_base[?scope?[filter][?search_base?scope?[filter]]*]

La portée peut être l'une des « base », « onelevel » ou « subtree ». Les fonctions de portée sont spécifiées dans la section 4.5.1.2 de http://tools.ietf.org/html/rfc4511

Le filtre doit être un filtre de recherche LDAP valide tel que spécifié par http://www.ietf.org/rfc/rfc2254.txt

Pour obtenir des exemples de cette syntaxe, reportez-vous à la section d'exemples “ldap_search_base”.

Par défaut : la valeur de ldap_search_base

Noter que la spécification de portée ou de filtre n'est pas prise en charge pour les recherches sur un serveur Active Directory qui serait susceptible de produire un grand nombre de résultats et de déclencher l'extension Range Retrieval dans sa réponse.

[domain/LDAP]
id_provider = ldap
auth_provider = ldap
ldap_uri = ldap://ldap.mydomain.org
ldap_search_base = dc=mydomain,dc=org
ldap_tls_reqcert = demand
cache_credentials = true

[domain/LDAP]
id_provider = ldap
auth_provider = ldap
access_provider = ldap
ldap_access_order = lockout
ldap_pwdlockout_dn = cn=ppolicy,ou=policies,dc=mydomain,dc=org
ldap_uri = ldap://ldap.mydomain.org
ldap_search_base = dc=mydomain,dc=org
ldap_tls_reqcert = demand
cache_credentials = true