git.sur5r.net Git - openldap/blob - doc/man/man5/slapd-ldap.5

   1 .TH SLAPD-LDAP 5 "RELEASEDATE" "OpenLDAP LDVERSION"
   2 .\" Copyright 1998-2004 The OpenLDAP Foundation All Rights Reserved.
   3 .\" Copying restrictions apply.  See COPYRIGHT/LICENSE.
   4 .\" $OpenLDAP$
   5 .SH NAME
   6 slapd-ldap \- LDAP backend to slapd
   7 .SH SYNOPSIS
   8 ETCDIR/slapd.conf
   9 .SH DESCRIPTION
  10 The LDAP backend to
  11 .BR slapd (8)
  12 is not an actual database; instead it acts as a proxy to forward incoming
  13 requests to another LDAP server. While processing requests it will also
  14 chase referrals, so that referrals are fully processed instead of being
  15 returned to the slapd client.
  16
  17 Sessions that explicitly Bind to the back-ldap database always create their
  18 own private connection to the remote LDAP server. Anonymous sessions will
  19 share a single anonymous connection to the remote server. For sessions bound
  20 through other mechanisms, all sessions with the same DN will share the
  21 same connection. This connection pooling strategy can enhance the proxy's
  22 efficiency by reducing the overhead of repeatedly making/breaking multiple
  23 connections.
  24
  25 .SH CONFIGURATION
  26 These
  27 .B slapd.conf
  28 options apply to the LDAP backend database.
  29 That is, they must follow a "database ldap" line and come before any
  30 subsequent "backend" or "database" lines.
  31 Other database options are described in the
  32 .BR slapd.conf (5)
  33 manual page.
  34 .LP
  35 Note: It is strongly recommended to set
  36 .LP
  37 .RS
  38 .nf
  39 lastmod  off
  40 .fi
  41 .RE
  42 .LP
  43 for every
  44 .B ldap
  45 and
  46 .B meta
  47 database.
  48 This is because operational attributes related to entry creation and
  49 modification should not be used, as they could be passed to the target
  50 servers, generating an error.
  51 .TP
  52 .B uri <ldapurl>
  53 LDAP server to use.  Multiple URIs can be set in in a single
  54 .B ldapurl
  55 argument, resulting in the underlying library automatically
  56 call the first server of the list that responds, e.g.
  57
  58 \fBuri "ldap://host/ ldap://backup-host"\fP
  59
  60 The URI list is space- or comma-separated.
  61 .TP
  62 .B server <hostport>
  63 Obsolete option; same as `uri ldap://<hostport>/'.
  64 .TP
  65 .B binddn "<administrative DN for access control purposes>"
  66 DN which is used to query the target server for acl checking; it
  67 should have read access on the target server to attributes used on the
  68 proxy for acl checking.
  69 There is no risk of giving away such values; they are only used to
  70 check permissions.
  71 .TP
  72 .B bindpw <password>
  73 Password used with the bind DN above.
  74 .TP
  75 .B proxyauthzdn "<administrative DN for proxyAuthz purposes>"
  76 DN which is used to propagate the client's identity to the target
  77 by means of the proxyAuthz control when the client does not
  78 belong to the DIT fragment that is being proxyied by back-ldap.
  79 This is useful when operations performed by users bound to another
  80 backend are propagated through back-ldap.
  81 This requires the entry with
  82 .B proxyauthzdn
  83 identity on the remote server to have
  84 .B proxyAuthz
  85 privileges on a wide set of DNs, e.g.
  86 .BR saslAuthzTo=dn.regex:.* ,
  87 and the remote server to have
  88 .B sasl-authz-policy
  89 set to
  90 .B to
  91 or
  92 .BR both .
  93 See
  94 .BR slapd.conf (5)
  95 for details on these statements and for remarks and drawbacks about
  96 their usage.
  97 .TP
  98 .B proxyauthzpw <password>
  99 Password used with the proxy authz DN above.
 100 .TP
 101 .B proxy-whoami
 102 Turns on proxying of the WhoAmI extended operation. If this option is
 103 given, back-ldap will replace slapd's original WhoAmI routine with its
 104 own. On slapd sessions that were authenticated by back-ldap, the WhoAmI
 105 request will be forwarded to the remote LDAP server. Other sessions will
 106 be handled by the local slapd, as before. This option is mainly useful
 107 in conjunction with Proxy Authorization.
 108 .TP
 109 .B rebind-as-user
 110 If this option is given, the client's bind credentials are remembered
 111 for rebinds when chasing referrals.
 112 .TP
 113 .B suffixmassage <suffix> <massaged (remote) suffix>
 114 DNs ending with <suffix> in a request are changed to end with <remote
 115 suffix> before sending the request to the remote server, and <remote
 116 suffix> in the results are changed back to <suffix> before returning
 117 them to the client.
 118 The <suffix> field must be defined as a valid suffix
 119 for the current database.
 120 .TP
 121 .B map "{attribute | objectclass} [<local name> | *] {<foreign name> | *}"
 122 Map attribute names and object classes from the foreign server to
 123 different values on the local slapd.
 124 The reason is that some attributes might not be part of the local
 125 slapd's schema, some attribute names might be different but serve the
 126 same purpose, etc.
 127 If local or foreign name is `*', the name is preserved.
 128 If local name is omitted, the foreign name is removed.
 129 Unmapped names are preseved if both local and foreign name are `*',
 130 and removed if local name is omitted and foreign name is `*'.
 131 .TP
 132 .B rewrite*
 133 The rewrite options are described in the "REWRITING" section of the
 134 .BR slapd-meta (5)
 135 manual page.
 136 .SH EXAMPLES
 137 This maps the OpenLDAP objectclass `groupOfNames' to the Active
 138 Directory objectclass `group':
 139 .LP
 140 .RS
 141 .nf
 142 map objectclass groupOfNames group
 143 .fi
 144 .RE
 145 .LP
 146 This presents a limited attribute set from the foreign
 147 server:
 148 .LP
 149 .RS
 150 .nf
 151 map attribute cn *
 152 map attribute sn *
 153 map attribute manager *
 154 map attribute description *
 155 map attribute *
 156 .fi
 157 .RE
 158 .LP
 159 These lines map cn, sn, manager, and description to themselves, and
 160 any other attribute gets "removed" from the object before it is sent
 161 to the client (or sent up to the LDAP server).  This is obviously a
 162 simplistic example, but you get the point.
 163 .SH FILES
 164 .TP
 165 ETCDIR/slapd.conf
 166 default slapd configuration file
 167 .SH SEE ALSO
 168 .BR slapd.conf (5),
 169 .BR slapd-meta (5),
 170 .BR slapd (8),
 171 .BR ldap (3).
 172 .SH AUTHOR
 173 Howard Chu, with enhancements by Pierangelo Masarati