目前互联网企业是怎么用 OpenLDAP 的？

[COW]

除了基本的部门、用户两个组织单元，有必要去维护角色、权限这些吗？还是说在各个业务系统中自己维护呢？

[hefish]

互联网企业用这东西干啥，互联网企业用钉钉，企业微信，邮件。

[porrt8]

取决于你要接入的业务系统对 OpenLDAP 的支持情况，如果运气好的话可能可以通过 LDAP 去管理，但大部分情况来说是各自维护各自的，LDAP 只管理用户的激活和禁用。

[Tianao]

@hefish #1 那你 SSO 总得 base 一个目录服务啊。

[mohumohu]

内部开发了一个用户中心，从钉钉/企业微信添加新员工会自动同步到 AD 域，并且下发初始密码到手机短信。

[COW]

@porrt8 对接的基本都是些开源服务，可能少数业务系统，大部分还是类似 jenkins jira gitea 这些东西。因为角色我看很多都支持，就想着 ldap 里把角色也设计进去，不知道会不会太复杂。

[COW]

@mohumohu 我现在在考虑直接从 keycloak 页面里面加新用户，然后同步到 ldap ，这样就不用额外开发了

[eryajf]

分享下个人写的项目，已在许多企业内部应用： https://github.com/eryajf/go-ldap-admin

[porrt8]

@COW #5 你列举的这些服务本身对 ldap 的支持基本是合格的，这样等于是把一部分的权限管理工作合并到了 ldap 的组管理里，我觉得没啥问题呀，除去一开始的权限映射工作量稍微大一点，后续的工作量和复杂度都会减少很多。

[COW]

@porrt8 如果把角色、权限全都设计到 ldap 进去了，会变得很复杂，比如企业的组织架构大范围调整也是很正常的，我有点担心灵活性。所以想问问大家具体是怎么设计这块的，比如角色这种是单独放一个组织单元里呢，还是作为一个属性放到用户里呢。

[qiangshenqi]

@porrt8 赞同