Authentifikation per LDAP

Guten Morgen,
in der offiziellen Doku zu PG steht bzgl. LDAP Authentication folgendes: " This authentication method operates similarly to password except that it uses LDAP as the password verification method. LDAP is used only to validate the user name/password pairs. Therefore the user must already exist in the database before LDAP can be used for authentication." (siehe PostgreSQL: Documentation: 13: 20.10. LDAP Authentication ; Erster Absatz).

Mir/uns ist nicht klar was damit gemeint ist:

  • Der User muss auf dem Active Directory Server, der per LDAP angesprochen wird, existieren?
  • Der User muss in PG als Login Role existieren?

Ersteres ist ja logisch. Authentifikation nur für “existierende” User!
Letzteres wäre ja Blödsinn, da man ja sonst sämtliche 500 User anlegen muss und ich mir jegliche Authentifikation per LDAP sparen kann.

Was ist also richtig?
Oder was bedeutet dieser Satz, das ich nicht herauslesen konnte?

Mit LDAP prüfst du nur das Passwort, der Nutzer selbst mußss als Rolle angelegt sein und entsprechende Rechte in der Datenbank besitzen. WIMRE.
Grüße Uwe

Wenn das wirklich so ist, dann ist das nicht das, was ich erwartet habe, aber OK.
Damit lässt sich sicher auch arbeiten, obwohl ich hoffte, dass wir keine Rollen anlegen müssen.

In diesem Falle würde ich das Anlegen der Rollen, Gruppen etc. was halt so im LDAP steht mit Python o.ä. automatisieren.

Grüße Uwe