FreeBSDopenldapLDAP
一、使用訪問控制(Access Control)，實現用戶認證
關於它，在OpenLDAP 2.1 Administrator's Guide裡有詳細說明。這裡只管應用。
修改OpenLDAP的配置文件，增加控制塊
QUOTE:
# vi /usr/local/etc/openldap/slapd.conf
access to attr=userPassword
by anonymous auth
by self write
by * none
access to *
by self write
by users read 此控制塊用於禁止匿名查詢，而認證用戶可以修改自己的所有屬性，允許查詢它人的信息條目，但除了userPassword屬性。基本上上面的每一行都是必須的，經過反復刪除恢復，終於對訪問控制塊的認識有了質的飛躍。特別是對於“by anonymous auth”的理解，沒有了它，需要認證的用戶不能完成認證，因為它查詢不到密碼呀！所以“auth”在這裡的作用就是允許匿名用戶可以讀到密碼，但只能用於驗證，而不能用於其它的用途，這就保證了密碼屬性的安全。
重啟ldap服務
QUOTE:
# /usr/local/etc/rc.d/slapd.sh restart 查詢測試
1、如果還使用LDAP Browser 2.6的話，這次就可以使用其它的用戶bind了，如使用用戶：
uid=abc,ou=people,dc=example,dc=com
它的密碼是:abcabc（見前面的例子）
2、在命令行完成
# ldapsearch -x -b 'dc=example,dc=com' 'objectClass=*'
匿名查詢結果：（顯然沒有任何條目）
QUOTE:
# extended LDIF
#
# LDAPv3
# base with scope sub
# filter: objectClass=*
# requesting: ALL
#
# search result
search: 2
result: 0 Success
# numResponses: 1
# ldapsearch -x -b 'dc=example,dc=com' -D 'uid=abc,ou=people,dc=example,dc=com' -w abcabc 'uid=a*' 通過指定用戶查詢的結果：
QUOTE:
# extended LDIF
#
# LDAPv3
# base with scope sub
# filter: uid=a*
# requesting: ALL
#
# abc, people, example.com
dn: uid=abc,ou=people,dc=example,dc=com
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
uid: abc
sn: zhangs
cn: zs
userPassword:: YWJjYWJj
# aaa, people, example.com
dn: uid=aaa,ou=people,dc=example,dc=com
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
uid: aaa
sn: aaaa
cn:: YWFkQSA=
# search result
search: 2
result: 0 Success
# numResponses: 3
# numEntries: 2 如果過濾條件還是用'objectClass=*'的話，產生的條目數很多，所以這裡就必為了'uid=a*'。從結果中我們可以看到“uid=abc,ou=people,dc=example,dc=com”的userPassword屬性顯示了出來，而另一個用戶則沒有顯示。上面執行的命令中紅色部分分別是查詢時使用的用戶名和密碼，其中密碼就是條目“uid=abc,ou=people,dc=example,dc=com”中所存放的userPassword的值。
二、使用SSL/TLS 通過認證授權（Certificate Authority）中心發行的證書簽發證書或自簽發證書，這裡用的是自簽發證書。
