Presto实战

安全

｜

181

其中一个属性是

userPassword

，绑定操作使用该属性来匹配发送的密码。

Presto

可以根据组成员身份进一步限制访问

。你可以在

10.2

节中了解更多关于组的重要

性。通过使用组，你可以给一个组分配权限，因此该组中的用户可以继承该组的所有权

限，而无须单独管理权限。比如，你想只允许

engineering

组中的用户使用

Presto

。在我

们的例子中，我们希望用户

matt

和

maria

而非用户

jane

能够访问

Presto

。

为了进一步根据组成员资格限制用户，

Presto

允许你在

password-authenticator

.properties

文

件中指定额外的属性。

ldap.user-base-dn=OU=people,DC=example,DC=com

ldap.group-auth-pattern=(&(objectClass=inetOrgPerson)(uid=${USER})(memberof=CN=

developers,OU=groups,DC=example,DC=com))

在我们的例子中，前面的过滤器在基础可分辨名称中限制了用户，只允许属于

LDAP

中的

developers

组的用户访问。如果用户

jane

试图验证，绑定操作会成功，因为

jane

是一个有

效的用户，但这个用户终将被过滤掉，因为她不属于

developers

组。

10.2

　授权

在

10.1

节中，你了解了认证，或者说向

Presto

证明你是谁。但是，在一个有很多用户和敏

感数据的环境中，你并不希望通过认证的任何用户都能访问所有数据。 ...