> Существуют группы aka Linux и существуют группы организованные другим образом.
> В итоге нет возможности совмещать пользователей по одним и тем же группам
> в рамках пользователей
> самой OS и сервисов предоставляемых в рамках условной сети. Т.е. то что
> более или менее работает
> в Windows совершенно не работает в Linux. Но это проблема устаревшей концепции
> Unix - я-мы-все.Тут у вас что-то не так, либо я вас совсем не понял.
В LDAP, прежде всего, всегда есть иерархия, т.е. дерево вложенных OD.
- Соответственно, появляется иерархия OD-групп, и эта иерархия сугубо топологическая/географическая.
- От этой иерархии/группировки можно отказаться, если тупо свалить все DN-ы в один OD.
Кроме этого есть "вторичные" группы, которые реализуются методами, либо их комбинацией:
- через списки: если DN входит в группу, то он включен в какой-то список;
- через атрибуты: если DN входит в группу, то у него есть соответствующий атрибут, как вариант атрибут в котором список групп, в которые входит DN;
Это покрывает все сценария использования.
В винде (active directory) ровно тоже самое, ибо другие методы просто сложно придумать.
На это накладываются некая автоматизация поддержки групп через эти методы, включая запросы, обновление списков/индексов и т.п.
В RFC что-то было на тему "как это следует делать", но подробностей я совсем не помню (не было необходимости вникать).
Насколько помню есть некоторые проблемы из-за того что у "каждого slapd" что-то своё, но главная заслуга в этом сначала немного Novell, а потом M$ - ибо принципиально не пытались договариваться, клали болт на RFC и упорото делали велосипеды.
