Netgroups 用于创建网络范围内的组，并且您可以使用它们为这些组提供特殊的权限。与其他用户相比，Netgroups 中配置的用户可以拥有不同的权限。本文说明了如何使用 Microsoft Active Directory 服务器配置 IBM Lightweight Directory Access Protocol (LDAP) 客户端 (AIX®) 上的 Netgroups。

　　引言

　　Netgroups 对于系统管理员来说是非常有用的，它允许系统管理员控制用户或者机器的登录访问，根据角色来管理网络的配置，并提供了其他更多的功能。如果您实现了基于 Lightweight Directory Access Protocol (LDAP) 的后端，那么还可以加强安全性和可管理性。本文介绍了使用 Windows® Active Directory 服务器配置 IBM LDAP netgroups 所需的步骤。

　　您需要基本熟悉集中式数据库管理、LDAP、以及使用 Windows Active Directory 服务器对其进行配置。本文特别适合于初级到中级水平的 AIX® 系统管理员。

　　系统要求

　　要按本文介绍的步骤进行配置，您需要一个 IBM LDAP 客户端、AIX 和配置了 LDAP 协议的 Microsoft® Windows Active Directory 2000/2003 服务器。

　　Netgroups

　　Netgroups 可以使用经过组织的名称来方便地标识主机组、人或域，以进行访问控制(请参见 Netgroups 侧栏)。您可以使用 netgroups 来限制对远程登录和 Shell 的访问。网络组存储于 Windows 2000/2003 Microsoft Active Directory 服务器中。您可以将 Windows Active Directory 服务器配置为 IBM LDAP 客户端的 LDAP 服务器。这些组中的用户可以访问 IBM LDAP 客户端系统。

　　例如，假定您有一台拥有大量用户的 LDAP 服务器，其中配置了几个 LDAP 客户端，并且您希望允许一定数量用户对这些 LDAP 客户端进行访问。您必须确保在 Netgroups 中定义这些用户。

　　IBM LDAP 使用 AIX 5.3 TL 05 或更高的版本提供对 Windows 2000/2003 Microsoft Active Directory 服务器的支持。请阅读 IBM 红皮书汇总中的 Integrating AIX 5L into Heterogeneous LDAP Environments(请参见参考资料)，以获得使用 Microsoft Active Directory 服务器配置 IBM LDAP 客户端的所有配置细节。

　　配置

　　执行下面的步骤，以便使用 Microsoft Active Directory 服务器在 IBM LDAP 客户端上配置 Netgroups：

　　AIX 的 /etc/netgroup 文件中定义了需要对 IBM LDAP 客户端计算机进行访问的组和用户。/etc/netgroup 文件定义了网络范围内的组。这个文件里的每一行定义了一个组，并按如下所示的格式进行格式化：

　　Group name (hostname, username, domain name)

　　请看以下示例： testgroup (znim.austin.ibm.com, user1, test)

　　testgroup1 (, user2,)

　　请不要在上面的条目中使用短横线(-)。

　　将 /etc/netgroup 映射文件复制到 Windows 2000/2003 Active Directory 服务器。