Die LDAP-Basis ist der Standard-Basis-DN, den der LDAP-Client für LDAP-Abfragen verwendet. Alle Suchvorgänge, einschließlich Benutzer-, Gruppen- und Netzgruppensuchen, werden mit dem Basis-DN durchgeführt. Diese Option ist geeignet, wenn das LDAP-Verzeichnis relativ klein ist und sich alle relevanten Einträge im selben DN befinden.

Wenn kein benutzerdefinierter Basis-DN angegeben wird, ist der Standardwert root. Dies bedeutet, dass jede Abfrage das gesamte Verzeichnis durchsucht. Obwohl dadurch die Erfolgswahrscheinlichkeit der LDAP-Abfrage maximiert wird, kann dies ineffizient sein und bei großen LDAP-Verzeichnissen zu erheblichen Leistungseinbußen führen.

Der LDAP-Basisbereich ist der Standard-Suchbereich, den der LDAP-Client für LDAP-Abfragen verwendet. Alle Suchvorgänge, einschließlich Benutzer-, Gruppen- und Netzgruppensuchen, werden im Basisbereich durchgeführt. Er bestimmt, ob die LDAP-Abfrage nur den benannten Eintrag, Einträge eine Ebene unterhalb des DN oder den gesamten Unterbaum unterhalb des DN durchsucht.

Wird kein benutzerdefinierter Basisbereich angegeben, ist der Standardwert subtree. Dies bedeutet, dass jede Abfrage den gesamten Unterbaum unterhalb des DN durchsucht. Obwohl dadurch die Erfolgswahrscheinlichkeit der LDAP-Abfrage maximiert wird, kann dies ineffizient sein und bei großen LDAP-Verzeichnissen zu erheblichen Leistungseinbußen führen.

Optional können separate Basis- und Bereichswerte für Benutzer-, Gruppen- und Netzgruppensuchen festgelegt werden. Die Einschränkung von Suchbasis und -bereich kann die Performance deutlich verbessern, da die Suche auf einen kleineren Teilbereich des LDAP-Verzeichnisses beschränkt wird.

Wenn Sie benutzerdefinierte Basis- und Bereichswerte angeben, überschreiben diese die allgemeinen Standardwerte für die Suche nach Benutzern, Gruppen und Netzgruppen. Die Parameter zur Angabe benutzerdefinierter Basis- und Bereichswerte sind auf der erweiterten Berechtigungsstufe verfügbar.

Bei komplexeren LDAP-Verzeichnisstrukturen kann es erforderlich sein, mehrere Basis-DNs anzugeben, um in verschiedenen Bereichen Ihres LDAP-Verzeichnisses nach bestimmten Informationen zu suchen. Mehrere DNs für die Parameter Benutzer, Gruppe und Netzgruppe können angegeben werden, indem sie mit einem Semikolon (;) getrennt und die gesamte DN-Suchliste in doppelte Anführungszeichen (") eingeschlossen werden. Enthält ein DN ein Semikolon, muss unmittelbar davor ein Escape-Zeichen (\) eingefügt werden.

Beachten Sie, dass der Gültigkeitsbereich für die gesamte Liste der für den entsprechenden Parameter angegebenen DNs gilt. Wenn beispielsweise eine Liste mit drei verschiedenen Benutzer-DNs und einem Unterbaum für den Benutzerbereich angegeben wird, durchsuchen LDAP-Benutzersuchen den gesamten Unterbaum für jeden der drei angegebenen DNs.

Ab ONTAP 9.5 kann auch das LDAP-Referral Chasing angegeben werden, wodurch der ONTAP LDAP-Client Suchanfragen an andere LDAP-Server weiterleiten kann, wenn vom primären LDAP-Server keine LDAP-Referral-Antwort zurückgegeben wird. Der Client verwendet diese Referral-Daten, um das Zielobjekt von dem im Referral beschriebenen Server abzurufen. Um nach Objekten auf den referenzierten LDAP-Servern zu suchen, kann die base-dn der referenzierten Objekte als Teil der LDAP-Client-Konfiguration zur base-dn hinzugefügt werden. Referenzierte Objekte werden jedoch nur dann gesucht, wenn das Referral Chasing (mithilfe der -referral-enabled true Option) bei der Erstellung oder Änderung des LDAP-Clients aktiviert ist.

Mit dem LDAP-Konfigurationsoptionsparameter lässt sich ein benutzerdefinierter Suchfilter erstellen. Der -group-membership-filter Parameter gibt den Suchfilter an, der beim Abrufen der Gruppenmitgliedschaft von einem LDAP-Server verwendet wird.

Beispiele für gültige Filter sind:

Weitere Informationen zu "Konfiguration von LDAP in ONTAP".