Newsgroup: it.comp.os.linux.sys
Titolo: OpenLDAP e attributo pwdChangedTime

Premetto che sono un niubbo assoluto per quanto riguarda LDAP.
Da una web application utilizzo Oracle Internet Directory (server LDAP 
di Oracle) per autenticare gli utenti. In OID le entry degli utenti 
hanno l'attributo "pwdChangedTime" che utilizzo nella mia applicazione 
per segnalare all'utente quanto manca alla scadenza della sua password.
Sto cercando di migrare l'applicazione a OpenLDAP. Sono riuscito a 
creare un database e alcuni utenti, dalla mia applicazione riesco a fare 
il bind, ma non riesco a trovare l'attributo pwdChangedTime.
Qualcuno ha qualche dritta da darmi?
Grazie. Ciao,
-- 
spamto:cri...@operamail.com
blind faith in your leaders or
in anything will get you killed

 Qualcuno ha qualche dritta da darmi?
Se i tuoi utenti hanno objectclass shadowAccount, c'č shadowLastChange.
hth,
	Benjamin

 Se i tuoi utenti hanno objectclass shadowAccount, c'è shadowLastChange.
Ho fatto anche questo esperimento ma ho visto che shadowLastChange non 
viene modificata automaticamente quando modifico la password, cosa 
invece che accadeva con pwdChangedTime. E' così o sbaglio qualcosa io?
Ti ringrazio. Ciao,


 Qualcuno ha qualche dritta da darmi?
Non migrare a OpenLDAP, migra SunDS o RedHat DS.
Sono migliori.
-- 
echo onailimissaM | awk 'BEGIN { FS = "" }
{ for (i = NF; i >= 1; i-- )
  printf $i }'; echo

Mandi! Cris
  In chel d? si favelave...
C> Ho fatto anche questo esperimento ma ho visto che shadowLastChange non 
C> viene modificata automaticamente quando modifico la password, cosa 
C> invece che accadeva con pwdChangedTime. E' così o sbaglio qualcosa io?
Rivedi la configurazione di pam_ldap, credo che tu stia sbagliando...
;)))
[posso solo dire che pam_ldap legge senza problemi quei valori, ma io
per scriverli uso uno script custom che li 'copia' dai dati più o meno
simili di Samba]
-- 
  Non mi importa del petrolio, saro` un vile, un anormale
  ma questa volta alle Crociate
  non ci voglio andare!					(E. Bennato)

 Rivedi la configurazione di pam_ldap, credo che tu stia sbagliando...
Ecco, qui comincia a emergere tutta la mia niubbaggine...
Dal mio applicativo io vado dritto su LDAP, senza passare attraverso PAM 
  (almeno credo - spero di non avere detto una castroneria).
Grazie. Ciao,


 Non migrare a OpenLDAP, migra SunDS o RedHat DS.
Il problema è che sto sviluppando su SUSE, i prodotti che consigli 
sembrano essere disponibili soltanto per RedHat.
Conoscete un altro sistema di directory aggratise installabile su SUSE?


 Qualcuno ha qualche dritta da darmi?
1) se ti manca un attributo, stai usando degli schemi diversi:
controlla quali schemi hai caricato nel file di configurazione di
OpenLdap e confrontali con quelli di OID. E' anche possibile che tu
riesca a portarti dietro gli schemi dell'altro DB e usarli
tranquillamente (se non ci sono problemi di licenza).
2) Il mantenimento dell'attributo che citi non è demandato al backend
LDAP, ma è responsabilità dell'interfaccia che realizza il cambio
password. In altre parole, non aspettarti che cambi automagicamente: se
è la tua applicazione che aggiorna l'attributo userPassword su
richiesta dell'utente, devi aggiornare anche il pwdChangedTime.
HTH, bye!

 Conoscete un altro sistema di directory aggratise installabile su SUSE?
Questi che ti ho detto sono tutti e due aggratise.
Posso dirti che io l'ho fatto girare sulla gentoo (che non usa
ufficialmente gli RPM)... certo, non potrai avere supporto, ma tanto il
supporto non lo avrai nemmeno con openldap.
-- 
Massimiliano

Mandi! Cris
  In chel d? si favelave...
C> Dal mio applicativo io vado dritto su LDAP, senza passare attraverso PAM 
C>   (almeno credo - spero di non avere detto una castroneria).
Ah, pensavo che il tuo applicativo dovesse sottostare alle regole
imposte dal sistema... se è così, devi scriverci tu in quel campo...
;)))
-- 
  There are only 10 kinds of people in the world --
  Those who understand binary, and those who don't.	(Roberto Maglica)

 imposte dal sistema... se è così, devi scriverci tu in quel campo...
Ho visto che se la password scade attraverso LDAP riesco ugualmente a 
fare il BIND, è giusto così?
Questo significa che tutti i controlli li devo fare dal mio applicativo? 
Non è proprio il massimo...


 ufficialmente gli RPM)
Che cosa? SunDS o RedHat DS?


 Che cosa? SunDS o RedHat DS?
Fedora DS ;)
.... comunque, sono tutti e' 3 circa la stessa cosa. Derivano tutti e 3 da
Netscape DS, hanno tutti e 3 la stessa interfaccia, sono tutti e 3
gratuiti. Quello di Sun pero', credo che sia quello sviluppato piu'
attivamente (di recente hanno sostituito il backend, da ldbm a bdb, piu'
altre piccole modifiche); gli altri 2 mi sembrano un po' piu' "statici".
un esempio di differenza tra questi DS e openldap:
Netscape DS supporta la replica tra un certo numero di master (quindi
parliamo di tanti anni fa), openldap - nel 2006 - offre questo supporto in
stato alfa...
ma poi ... chi va fa fare a rinunciare a una comoda interfaccia di
amministrazione? In openldap ogni operazione di semplice routine deve
essere eseguita modificando i file.
In netscape DS puoi editare i file ma per le operazioni di routine usi
l'interfaccia.


Mandi! Cris
  In chel d? si favelave...
C> Ho visto che se la password scade attraverso LDAP riesco ugualmente a 
C> fare il BIND, è giusto così?
C> Questo significa che tutti i controlli li devo fare dal mio applicativo? 
yes.
C> Non è proprio il massimo...
...quelli di openlap-it ti risponderebbero che basta scrivere un
overlay... ;)))
-- 
  Alla fiera dell'est, per due soldi
  un topolino mio padre compro`				(A. Branduardi)