Веб-консоль для AD и OpenLDAP: как не дать хелпдеску сбросить пароль администратору
Почти в каждой компании с Active Directory или OpenLDAP есть одна и та же рутина: завести сотрудника, сбросить пароль, добавить в группу, отключить уволенного. Её хочется отдать хелпдеску, но так, чтобы хелпдеск не мог сделать себя администратором, а каждое действие оставляло след.Под эту задачу я пишу Axia — веб-консоль и REST API для AD и OpenLDAP с открытым кодом. Статья не про её возможности, а про грабли: пять мест, где очевидная реализация оказалась дырой или багом, — от переноса OU, который позволял сбросить пароль администратору, до атаки LDAP pass-back. Читать далее