Protection des données de l'annuaire

Configuration générale des ACL

Le système d’ACL fourni par OpenLDAP est assez simple dans sa syntaxe, car il se résume aux questions suivantes : Qui a accès à quoi et pour quoi faire  ?

Et sa syntaxe de configuration est la suivante :

<access directive> ::= access to <what> 
[by <who> [<access>] [<control>] ]+ 
<what> ::= * | 
[dn[.<basic-style>]=<regex> | dn.<scope-style>=<DN>] 
[filter=<ldapfilter>] [attrs=<attrlist>] 
<basic-style> ::= regex | exact 
<scope-style> ::= base | one | subtree | children 
<attrlist> ::= <attr> [val[.<basic-style>]=<regex>] | <attr> ,  
<attrlist> 
<attr> ::= <attrname> | entry | children 
<who> ::= * | [anonymous | users | self 
| dn[.<basic-style>]=<regex> | dn.<scope-style>=<DN>] 
[dnattr=<attrname>] 
[group[/<objectclass>[/<attrname>][.<basic-style>]]=<regex>] 
[peername[.<basic-style>]=<regex>] 
[sockname[.<basic-style>]=<regex>] 
[domain[.<basic-style>]=<regex>] 
[sockurl[.<basic-style>]=<regex>] 
[set=<setspec>] 
[aci=<attrname>] 
<access> ::= [self]{<level>|<priv>} 
<level> ::= none | disclose | auth | compare | search | read | write 
| manage 
<priv> ::= {=|+|-}{m|w|r|s|c|x|d|0}+ 
<control> ::= [stop | continue | break]
 

À première vue, la configuration d’une ACL paraît bien compliquée. Les sections suivantes tâcheront de donner une explication pour chacune de ces syntaxes.

<what> ::= * | 
[dn[.<basic-style>]=<regex> | dn.<scope-style>=<DN>] 
[filter=<ldapfilter>] [attrs=<attrlist>] 
<basic-style> ::= regex | exact 
<scope-style> ::= base...

Configuration des ACL dans l’annuaire de démonstration

La configuration des ACL dans un annuaire OpenLDAP peut s’effectuer également de deux façons : par le fichier "slapd.conf" ou via la méthode en ligne (OLC) en modifiant à chaud le DIT de configuration (cn=config) avec l’utilisation de la commande LDAP modify ou avec l’aide d’un navigateur LDAP.

La méthode en ligne (OLC) sera privilégiée pour le déploiement des ACL en modifiant ou en ajoutant l’attribut olcAccess provenant de la classe d’objet olcDatabaseConfig chargée par le schéma de base de l’application.

Cet attribut devra se positionner dans le DIT de configuration (cn=config) et plus précisément dans les entrées de l’annuaire de type olcDatabaseConfig.

L’annuaire LDAP créé et configuré précédemment possédera les différents DIT listés dans la figure 11-1. Il s’y trouvera les deux DIT par défaut que sont le "frontend" et le "config", et le DIT créé pour y stocker les données propres à l’exploitation des utilisateurs de l’entreprise.

ldapsearch -h localhost -D cn=config -W -b "cn=config" -s one  
objectclass=olcDatabaseConfig objectClass -LL 
Enter LDAP Password: 
 
dn: olcDatabase={-1}frontend,cn=config 
objectClass: olcDatabaseConfig 
objectClass: olcFrontendConfig 
 
dn: olcDatabase={0}config,cn=config 
objectClass: olcDatabaseConfig 
 
dn: olcDatabase={1}bdb,cn=config 
objectClass: olcDatabaseConfig 
objectClass: olcBdbConfig
 

Figure 11-1 : Liste des DIT de l’annuaire de démonstration