[Ayuda] Ya pude Autentificar, pero faltan algunso detalles...

[Luis Daniel Lucio Quiroz <dlucio en okay com mx>]

Hola,

   Bueno, pues ya pude autentificar con LDAP, pero pues sólo con esta 
estructura:

   * o=myOrg
         o ou=Person
               + uid=usuario1
               + uid=usuario2
               + ....
         o ...

con esta estructura y con lo siguiente en /etc/ldap.conf

   scope                             one
   nss_base_passwd         ou=People,o=myOrg
   nss_base_shadow         ou=People,o=myOrg
   pam_password            md5

con permisos:


access to dn=".*,o=myOrg" attr=userPassword
       by dn="cn=root,o=myOrg" write
       by dn="cn=proxyuser,o=myOrg" write
       by self write
       by * auth

access to dn=".*,ou=People,o=myOrg"
       by * read



si esta así funciona de maravilla.

ahora, como tengo la mania de quitar TODO lode M$, entonces segun 
exchange y NT usan esta estrucutra

   * o=myOrg
         o ou=Dominio_NT
               + ou=Direccion
                     # uid=usuario1
                     # uid=usuario2
                     # ou=SubDireccion
                           * uid=usuario3
                           * uid=usuario4
                     # ...


entonces, pencé, oh, hagamso esto en el /etc/ldap.conf

   scope                     sub
   nss_base_passwd    ou=Dominio_NT,o=myOrg?sub
   nss_base_shadow    ou=Dominio_NT,o=myOrg?sub
   pam_password md5


y con permisos

access to dn=".*,o=myOrg" attr=userPassword
       by dn="cn=root,o=myOrg" write
       by dn="cn=proxyuser,o=myOrg" write
       by self write
       by * auth

access to dn=".*,ou=Dominio_NT,o=myOrg"
       by dn="cn=root,o=myOrg" write
       by dn="cn=proxyuser,o=myOrg" write
       by self write  
       by * read


---------------------------------------------------------------------------------------------
con esto me surgen dos preguntas fundamentales.

  1. cuando pongo en el dn ".*" esto trabaja como un comodin, pero,
     sirve para descender a través de todo el arbol, o sólo un nivel,
     se me ocurrio esto por que en Apache, el comodin * sólo sirve para
     un nivel.  Si es esto, hay alguna forma de poner n niveles, o
     tendira que ahcer ".*,.*" y así....
  2. en el archivo /etc/pam.d/system-auth  (o como se escriba),
     existirá algún parámetro para decirle a pam_ldap.so que busque en
     otra rama del LDAP que no sea "People" ?? ya me repce el manual de
     pam_ldap que viene en mi linux, y del sitio pero no viene eso.

Bueno, si logramos hacer esto, Tux triunfará y destituiremso con gran 
alegria unas tantas máquinas que tran W2k.


jejej, ojalá puedan ayudarme.

Gracias.

Luis Daniel Lucio Quiroz
dlucio en okay com mx
www.okay.com.mx