.lf 1 "-
.TH SLAPD.CONF 5 "2026/03/09" "OpenLDAP 2.6.13"
.\" Copyright 1998-2026 The OpenLDAP Foundation All Rights Reserved.
.\" Copying restrictions apply.  See COPYRIGHT/LICENSE.
.\" $OpenLDAP$
.SH "نام (NAME)"
slapd.conf \- فایل پیکربندی برای slapd، دیمن مستقل LDAP
.SH "خلاصه دستور (SYNOPSIS)"
/etc/openldap/slapd.conf
.SH "توضیحات (DESCRIPTION)"
فایل
.B /etc/openldap/slapd.conf
حاوی اطلاعات پیکربندی برای دیمن
.BR slapd (8)
است. این فایل پیکربندی همچنین توسط ابزارهای SLAPD شامل
.BR slapacl (8)،
.BR slapadd (8)،
.BR slapauth (8)،
.BR slapcat (8)،
.BR slapdn (8)،
.BR slapindex (8)،
.BR slapmodify (8)
و
.BR slaptest (8)
استفاده می‌شود.
.LP
فایل
.B slapd.conf
شامل مجموعه‌ای از گزینه‌های پیکربندی سراسری است که برای
.B slapd
به‌طور کلی (از جمله تمام بک‌اندها) اعمال می‌شوند، و به دنبال آن صفر یا چند تعریف بک‌اند پایگاه‌داده که حاوی اطلاعات خاص یک نمونه بک‌اند هستند می‌آید.
گزینه‌های پیکربندی به حروف بزرگ و کوچک حساس نیستند (case-insensitive)؛
اما مقدار آن‌ها، مورد به مورد، ممکن است به حروف بزرگ و کوچک حساس باشد.
.LP
قالب کلی
.B slapd.conf
به شرح زیر است:
.LP
.nf
    # comment - these options apply to every database
    <global configuration options>
    # first database definition & configuration options
    database <backend 1 type>
    <configuration options specific to backend 1>
    # subsequent database definitions & configuration options
    ...
.fi
.LP
می‌توان هر تعداد بخش خاص بک‌اند را که لازم است قرار داد. گزینه‌های
سراسری را می‌توان در یک بک‌اند لغو کرد (برای گزینه‌هایی که بیش از
یک بار ظاهر می‌شوند، آخرین باری که در فایل
.B slapd.conf
آمده‌اند استفاده می‌شود).
.LP
اگر خطی با نویسه فاصله آغاز شود، به عنوان ادامه
خط قبلی در نظر گرفته می‌شود. هیچ خط فیزیکی نباید بیش از ۲۰۰۰ بایت
طول داشته باشد.
.LP
خطوط خالی و خطوط توضیحات که با
نویسه `#' آغاز می‌شوند نادیده گرفته می‌شوند. توجه: خطوط ادامه قبل از
پردازش توضیحات باز می‌شوند (unwrap می‌شوند).
.LP
آرگومان‌ها در خطوط پیکربندی با فاصله از هم جدا می‌شوند. اگر یک
آرگومان حاوی فاصله باشد، آرگومان باید درون علامت نقل‌قول دوتایی قرار گیرد.
اگر آرگومان حاوی یک علامت نقل‌قول دوتایی (`"') یا نویسه
بک‌اسلش (`\\') باشد، باید پیش از آن نویسه یک بک‌اسلش قرار داده شود.
.LP
گزینه‌های پیکربندی خاصِ موجود، در ادامه در بخش‌های گزینه‌های پیکربندی سراسری،
گزینه‌های عمومی بک‌اند، و گزینه‌های عمومی پایگاه‌داده مورد بحث قرار گرفته‌اند. گزینه‌های خاص بک‌اند در صفحات
راهنمای
.B slapd\-<backend>(5)
مورد بحث قرار گرفته‌اند. برای جزئیات بیشتر در مورد فایل پیکربندی slapd به «راهنمای مدیر OpenLDAP»
مراجعه کنید.
.SH "گزینه‌های پیکربندی سراسری (GLOBAL CONFIGURATION OPTIONS)"
گزینه‌های تشریح‌شده در این بخش برای تمام بک‌اندها اعمال می‌شوند، مگر اینکه صریحاً
در تعریف یک بک‌اند بازنویسی شده باشند. آرگومان‌هایی که باید با
متن واقعی جایگزین شوند داخل علامت‌های <> نشان داده شده‌اند.
.TP
.B access to <what> "[ by <who> <access> <control> ]+"
اعطای دسترسی (مشخص‌شده با <access>) به مجموعه‌ای از مدخل‌ها و/یا
مشخصه‌ها (مشخص‌شده با <what>) توسط یک یا چند درخواست‌کننده (مشخص‌شده
با <who>).
اگر هیچ کنترل دسترسی وجود نداشته باشد، خط‌مشی پیش‌فرض
به هر کسی اجازه می‌دهد هر چیزی را بخواند اما به‌روزرسانی‌ها را
به rootdn محدود می‌کند. (به عنوان مثال، "access to * by * read").
کاربر rootdn همواره می‌تواند همه‌چیز را بخواند و بنویسد!
برای جزئیات بیشتر به
.BR slapd.access (5)
و «راهنمای مدیر OpenLDAP» مراجعه کنید.
.TP
.B allow <features>
مجموعه‌ای از قابلیت‌ها را (که با فاصله از هم جدا شده‌اند) برای
مجاز بودن مشخص می‌کند (پیش‌فرض هیچ‌کدام است).
.B bind_v2
پذیرش درخواست‌های بایند LDAPv2 را مجاز می‌کند. توجه داشته باشید که
.BR slapd (8)
به‌طور واقعی LDAPv2 (استاندارد RFC 1777 که اکنون تاریخی RFC 3494 است) را پیاده‌سازی نمی‌کند.
.B bind_anon_cred
بایند ناشناس را هنگامی که اطلاعات اعتبارسنجی خالی نیستند (مثلاً
هنگامی که DN خالی است) مجاز می‌سازد.
.B bind_anon_dn
بایند احرازهویت‌نشده (ناشناس) را هنگامی که DN خالی نیست مجاز می‌سازد.
.B update_anon
پردازش عملیات به‌روزرسانی احرازهویت‌نشده (ناشناس) را مجاز می‌کند
(مشروط به کنترل‌های دسترسی و سایر محدودیت‌های مدیریتی).
.B proxy_authz_anon
پردازش کنترل احراز هویت وکالتی احرازهویت‌نشده (ناشناس) را مجاز می‌کند
(مشروط به کنترل‌های دسترسی، اعطای مجوز و سایر محدودیت‌های مدیریتی).
.TP
.B argsfile <filename>
نام (مطلق) فایلی که خط فرمان سرور
.B slapd
(نام برنامه و گزینه‌ها) را در خود نگه می‌دارد.
.TP
.B attributeoptions [option-name]...
گزینه‌های مشخصه برچسب‌گذاری یا پیشوندهای برچسب/محدوده گزینه را تعریف می‌کند.
گزینه‌ها نباید به `\-' ختم شوند؛ پیشوندها باید به `\-' ختم شوند.
پیشوند `lang\-' از پیش تعریف شده است.
اگر از دستورالعمل
.B attributeoptions
استفاده کنید، `lang\-' دیگر تعریف‌شده نخواهد بود و اگر می‌خواهید تعریف شود باید آن را
صریحاً مشخص کنید.

توصیف یک مشخصه با یک گزینه برچسب‌گذاری، یک زیرنوع از آن توصیف مشخصه بدون گزینه است.
به جز این، گزینه‌های تعریف‌شده به این روش معنای خاص دیگری ندارند.
پیشوندهای تعریف‌شده به این روش مانند گزینه‌های `lang\-' عمل می‌کنند:
آن‌ها یک پیشوند برای گزینه‌های برچسب‌گذاری که با آن پیشوند شروع می‌شوند تعریف می‌کنند.
به این معنی که اگر پیشوند `x\-foo\-' را تعریف کنید، می‌توانید از گزینه
`x\-foo\-bar' استفاده کنید.
علاوه بر این، در یک جستجو یا مقایسه، یک پیشوند یا نام محدوده (با یک
`\-' پایانی) با تمام گزینه‌هایی که با آن نام شروع می‌شوند، و همچنین با
گزینه دارای نام محدوده بدون `\-' پایانی مطابقت دارد.
یعنی `x\-foo\-bar\-' با `x\-foo\-bar' و `x\-foo\-bar\-baz' تطابق پیدا می‌کند.

استاندارد RFC 4520 گزینه‌هایی را که با `x\-' شروع می‌شوند برای آزمایش‌های خصوصی رزرو کرده است.
سایر گزینه‌ها باید در IANA ثبت شوند، به بخش ۳.۵ از RFC 4520 مراجعه کنید.
همچنین OpenLDAP گزینه `binary' را به‌طور توکار دارد، اما این یک گزینه انتقال است،
نه گزینه برچسب‌گذاری.
.HP
.hy 0
.B attributetype "(\ <oid>\
 [NAME\ <name>]\
 [DESC\ <description>]\
 [OBSOLETE]\
 [SUP\ <oid>]\
 [EQUALITY\ <oid>]\
 [ORDERING\ <oid>]\
 [SUBSTR\ <oid>]\
 [SYNTAX\ <oidlen>]\
 [SINGLE\-VALUE]\
 [COLLECTIVE]\
 [NO\-USER\-MODIFICATION]\
 [USAGE\ <attributeUsage>]\ )"
.RS
یک نوع مشخصه را با استفاده از نحو LDAPv3 تعریف‌شده در RFC 4512 مشخص می‌کند.
تجزیه‌کننده slapd با مجاز دانستن استفاده از شکل‌های رشته‌ای و همچنین OIDهای عددی
برای OID مشخصه و OID نحو مشخصه، تعریف RFC 4512 را گسترش می‌دهد.
(به توضیحات
.B objectidentifier
مراجعه کنید.)
.RE
.TP
.B authid\-rewrite<cmd> <args>
توسط چارچوب احراز هویت برای تبدیل نام‌های کاربری ساده
به یک DN در LDAP برای اهداف مجوزدهی استفاده می‌شود.
هدف آن مشابه هدف
.BR authz-regexp
(در زیر ببینید) است.
پیشوند \fIauthid\-\fP با مجموعه‌ای از قوانین مشابه موارد شرح‌داده‌شده در
.BR slapo\-rwm (5)
برای بازنویسی داده‌ها دنبال می‌شود (پیشوند \fIrwm\-\fP را با \fIauthid\-\fP جایگزین کنید).
قوانین
.B authid\-rewrite<cmd>
و
.B authz\-regexp
نباید با یکدیگر ترکیب شوند.
.TP
.B authz\-policy <policy>
برای تعیین قوانینی که باید برای احراز هویت وکالتی (Proxy Authorization) استفاده شوند به‌کار می‌رود.
احراز هویت وکالتی به کلاینت اجازه می‌دهد تا با استفاده از اطلاعات اعتبارسنجی یک کاربر با سرور احراز هویت کند،
اما هویت متفاوتی را برای اهداف اعطای مجوز و کنترل دسترسی تعیین نماید. این سازوکار اساساً به کاربر A امکان می‌دهد
تا با گذرواژه کاربر A به عنوان کاربر B وارد سیستم شود.
فلگ
.B none
احراز هویت وکالتی را غیرفعال می‌کند. این تنظیم پیش‌فرض است.
فلگ
.B from
از قوانین موجود در مشخصه
.I authzFrom
مربوط به DN مجوزدهی استفاده خواهد کرد.
فلگ
.B to
از قوانین موجود در مشخصه
.I authzTo
مربوط به DN احراز هویت استفاده خواهد کرد.
فلگ
.BR any ،
یک نام مستعار برای مقدار منسوخ‌شده
.BR both ،
هر یک از موارد بالا را که زودتر موفق شود مجاز می‌داند (که با ترتیب
.BR to ،
.B from
بررسی می‌شود).
فلگ
.B all
نیازمند موفقیت هر دو مجوزدهی است.
.LP
.RS
این قوانین، سازوکارهایی برای تعیین این هستند که کدام هویت‌ها مجاز به
انجام احراز هویت وکالتی هستند.
مشخصه
.I authzFrom
در یک مدخل مشخص می‌کند که چه کاربران دیگری مجاز به
ورود وکالتی به این مدخل هستند. مشخصه
.I authzTo
در یک مدخل مشخص می‌کند که این کاربر می‌تواند به عنوان چه کاربران دیگری مجوز بگیرد. استفاده از
قوانین
.I authzTo
در صورتی که کاربران مجاز به نوشتن مقادیر دلخواه در این مشخصه باشند می‌تواند به راحتی
مورد سوءاستفاده قرار گیرد.
به‌طور کلی مشخصه
.I authzTo
باید با فهرست‌های کنترل دسترسی (ACL) محافظت شود به‌طوری که
تنها کاربران ممتاز بتوانند آن را تغییر دهند.
مقدار
.I authzFrom
و
.I authzTo
یک
.B هویت
یا مجموعه‌ای از هویت‌ها را توصیف می‌کند؛ این مقدار می‌تواند پنج شکل داشته باشد:
.RS
.TP
.B ldap:///<base>??[<scope>]?<filter>
.RE
.RS
.B dn[.<dnstyle>]:<pattern>
.RE
.RS
.B u[.<mech>[/<realm>]]:<pattern>
.RE
.RS
.B group[/objectClass[/attributeType]]:<pattern>
.RE
.RS
.B <pattern>
.RE
.RS

.B <dnstyle>:={exact|onelevel|children|subtree|regex}

.RE
شکل اول یک
.B URI
معتبر LDAP است که در آن بخش‌های
.IR <host>:<port> ،
بخش
.I <attrs>
و بخش
.I <extensions>
باید غایب باشند، تا جستجو به‌صورت محلی بر روی
.I authzFrom
یا
.IR authzTo
انجام شود.

.LP
شکل دوم یک
.BR DN
است. اصلاح‌کننده‌های اختیاری
.B dnstyle
شامل
.IR exact ،
.IR onelevel ،
.IR children
و
.I subtree
تطابق‌های دقیق، یک‌سطحی، فرزندان و زیردرخت را ارائه می‌دهند که باعث می‌شوند
.I <pattern>
بر اساس قوانین عادی‌سازی DN نرمال شود.
اصلاح‌کننده ویژه
.B dnstyle
به نام
.I regex
باعث می‌شود که
.I <pattern>
به‌عنوان یک عبارت منظم («توسعه‌یافته») POSIX در نظر گرفته شود، همان‌طور که در
.BR regex (7)
و/یا
.BR re_format (7)
مورد بحث قرار گرفته است.
الگوی
.I *
به معنای هر DN غیرناشناس است.

.LP
شکل سوم یک
.BR id
مربوط به SASL است. فیلدهای اختیاری
.I <mech>
و
.I <realm>
امکان تعیین یک
.BR مکانیزم
SASL، و در نهایت یک
.BR قلمرو (realm)
SASL را برای مکانیزم‌هایی که از آن پشتیبانی می‌کنند فراهم می‌سازند.
نیاز به امکان تعیین مکانیزم هنوز مورد بحث است،
و کاربران اکیداً از تکیه بر این قابلیت منع می‌شوند.

.LP
شکل چهارم مشخصه یک گروه است.
این شکل از کلیدواژه
.BR group
تشکیل شده که به‌صورت اختیاری با تعیین
.B objectClass
و
.BR attributeType
گروه همراه می‌شود.
مقدار پیش‌فرض
.B objectClass
برابر
.IR groupOfNames
است.
مقدار پیش‌فرض
.B attributeType
برابر
.IR member
است.
گروه با DN معادل
.B <pattern>
با دامنه پایه (base scope) و فیلتر روی
.BR objectClass
مشخص‌شده جستجو می‌شود.
مقادیر
.B attributeType
حاصل برای DN اظهارشده جستجو می‌شوند.

.LP
شکل پنجم برای سازگاری با گذشته ارائه شده است. اگر هیچ نوع هویتی ارائه نشود،
یعنی فقط
.B <pattern>
حضور داشته باشد، یک
.I DN دقیق
فرض می‌شود؛ در نتیجه،
.B <pattern>
تحت عادی‌سازی DN قرار می‌گیرد.

.LP
از آنجا که تفسیر
.I authzFrom
و
.I authzTo
می‌تواند بر امنیت تأثیر بگذارد، به کاربران اکیداً توصیه می‌شود
که صریحاً نوع تعیین هویت مورد استفاده را مشخص کنند.
زیرمجموعه‌ای از این قوانین می‌تواند به‌عنوان آرگومان سوم در دستورالعمل
.B authz\-regexp
(در زیر ببینید) استفاده شود؛ به‌ویژه شکل‌های
.IR URI ،
به شرطی که دقیقاً به یک مدخل ختم شود،
و شکل‌های
.IR dn.exact:<dn> .
.RE
.TP
.B authz\-regexp <match> <replace>
توسط چارچوب احراز هویت برای تبدیل نام‌های کاربری ساده، مانند موارد ارائه‌شده توسط زیرسیستم SASL، یا استخراج‌شده از گواهی‌ها در صورت SASL EXTERNAL مبتنی بر گواهی، یا ارائه‌شده در کنترل «احراز هویت وکالتی‌شده» RFC 4370، به یک DN در LDAP برای اهداف صدور مجوز استفاده می‌شود. توجه داشته باشید که DN حاصل برای معتبر شناخته شدن نیازی به ارجاع به یک مدخل موجود ندارد. هنگامی که یک درخواست مجوز از زیرسیستم SASL دریافت می‌شود، مقادیر
.BR USERNAME ،
.BR REALM
و
.B MECHANISM
مربوط به SASL، در صورت موجود بودن اخذ شده و در یک نام به شکل زیر ترکیب می‌شوند:
.RS
.RS
.TP
.B UID=<username>[[,CN=<realm>],CN=<mechanism>],CN=auth

.RE
این نام سپس با عبارت منظم («توسعه‌یافته») POSIX در
.B match
مقایسه می‌شود و اگر تطابق موفقیت‌آمیز باشد، نام با رشته
.B replace
جایگزین می‌شود. اگر رشته‌های عام (wildcard) در عبارت منظم
.B match
وجود داشته باشند که در پرانتز قرار گرفته‌اند، مثلاً:
.RS
.TP
.B UID=([^,]*),CN=.*

.RE
آنگاه بخشی از نام که با نویسه عام تطابق یافته در متغیر نگه‌دارنده شماره‌دار $1 ذخیره می‌شود. اگر رشته‌های عام دیگری در پرانتز وجود داشته باشند، رشته‌های منطبق در $2، $3، تا $9 قرار می‌گیرند. سپس این نگه‌دارنده‌ها می‌توانند در رشته
.B replace
استفاده شوند، مثلاً:
.RS
.TP
.B UID=$1,OU=Accounts,DC=example,DC=com

.RE
نام جایگزین‌شده می‌تواند یک DN باشد، یعنی رشته‌ای با پیشوند "dn:"، یا یک URI مربوط به LDAP.
اگر دومی باشد، سرور از این URI برای جستجو در پایگاه(های) داده خود استفاده می‌کند و اگر جستجو دقیقاً یک مدخل را بازگرداند، نام با DN آن مدخل جایگزین می‌شود. URI مربوط به LDAP نباید هیچ مؤلفه hostport، attrs، یا extensions داشته باشد، اما فیلتر اجباری است، مثلاً:
.RS
.TP
.B ldap:///OU=Accounts,DC=example,DC=com??one?(UID=$1)

.RE
بخش پروتکل URI باید دقیقاً
.BR ldap
باشد. توجه داشته باشید که این جستجو مشروط به کنترل‌های دسترسی است. به‌طور خاص، هویت احراز هویت باید دسترسی "auth" را در موضوع داشته باشد.

چندین گزینه
.B authz\-regexp
می‌تواند در فایل پیکربندی برای امکان تطابق و جایگزینی چندگانه ارائه شود. الگوهای تطابق به ترتیبی که در فایل ظاهر می‌شوند بررسی می‌شوند و با رسیدن به اولین تطابق موفق متوقف می‌گردند.

.\".B Caution:
.\".Because the plus sign + is a character recognized by the regular expression engine,
.\".and it will appear in names that include a REALM, be careful to escape the
.\".plus sign with a backslash \\+ to remove the character's special meaning.
.RE
.TP
.B concurrency <integer>
سطح همروندی مورد نظر را مشخص می‌کند. به‌عنوان یک راهنمایی (hint) به سیستم نخ‌های زیرین ارائه می‌شود. پیش‌فرض این است که هیچ راهنمایی ارائه نشود. این تنظیم تنها در برخی پلتفرم‌ها که در آن‌ها تناظر یک‌به‌یک بین نخ‌های کاربر و نخ‌های هسته وجود ندارد معنادار است.
.TP
.B conn_max_pending <integer>
حداکثر تعداد درخواست‌های معلق برای یک نشست ناشناس را مشخص می‌کند.
اگر درخواست‌ها سریع‌تر از توانایی پردازش سرور ارسال شوند، تا این سقف در صف قرار می‌گیرند. اگر از این حد فراتر رود، نشست بسته می‌شود. پیش‌فرض 100 است.
.TP
.B conn_max_pending_auth <integer>
حداکثر تعداد درخواست‌های معلق برای یک نشست احرازهویت‌شده را مشخص می‌کند.
پیش‌فرض 1000 است.
.TP
.B defaultsearchbase <dn>
یک پایه جستجوی پیش‌فرض را برای زمانی مشخص می‌کند که کلاینت درخواست جستجوی غیرپایه‌ای (non-base) را با یک DN پایه خالی ارسال می‌کند.
درخواست‌های جستجو در دامنه پایه با DN پایه خالی تحت تأثیر قرار نمی‌گیرند.
.TP
.B disallow <features>
مجموعه‌ای از قابلیت‌ها را (که با فاصله از هم جدا شده‌اند) برای غیرمجاز کردن مشخص می‌کند (پیش‌فرض هیچ‌کدام است).
.B bind_anon
پذیرش درخواست‌های بایند ناشناس را غیرفعال می‌کند. توجه داشته باشید که این تنظیم مانع از دسترسی ناشناس به دایرکتوری نمی‌شود (به "require authc" مراجعه کنید).
.B bind_simple
احراز هویت ساده (بایند) را غیرفعال می‌کند.
.B tls_2_anon
اجبار نشست به وضعیت ناشناس در هنگام دریافت عملیات StartTLS را غیرفعال می‌کند (همچنین به
.BR tls_authc
مراجعه کنید).
.B tls_authc
در صورت احراز هویت بودن، عملیات StartTLS را غیرمجاز می‌کند (همچنین به
.BR tls_2_anon
مراجعه کنید).
.B proxy_authz_non_critical
پذیرش کنترل احراز هویت وکالتی (RFC4370) با وضعیت بحرانی (criticality) تنظیم‌شده روی FALSE را غیرفعال می‌کند.
.B dontusecopy_non_critical
پذیرش کنترل dontUseCopy (یک کار در حال توسعه) با وضعیت بحرانی تنظیم‌شده روی FALSE را غیرفعال می‌کند.
.HP
.hy 0
.B ditcontentrule "(\ <oid>\
 [NAME\ <name>]\
 [DESC\ <description>]\
 [OBSOLETE]\
 [AUX\ <oids>]\
 [MUST\ <oids>]\
 [MAY\ <oids>]\
 [NOT\ <oids>]\ )"
.RS
یک قانون محتوای DIT (قاعده DIT Content Rule) را با استفاده از نحو LDAPv3 تعریف‌شده در RFC 4512 مشخص می‌کند.
تجزیه‌کننده slapd با مجاز دانستن استفاده از شکل‌های رشته‌ای و همچنین OIDهای عددی برای OID مشخصه و OID نحو مشخصه، تعریف RFC 4512 را گسترش می‌دهد.
(به توضیحات
.B objectidentifier
مراجعه کنید.)
.RE
.TP
.B gentlehup { on | off }
سیگنال SIGHUP تنها باعث تلاش برای خاموش شدن «ملایم» می‌شود:
.B Slapd
گوش دادن به اتصالات جدید را متوقف می‌کند، اما اتصالات کلاینت‌های فعلی را نمی‌بندد. با این حال، عملیات نوشتن بعدی خطای unwilling-to-perform را برمی‌گردانند. Slapd زمانی خاتمه می‌یابد که همه کلاینت‌ها اتصالات خود را ببندند (اگر اصلاً ببندند)، یا \- مانند قبل \- اگر سیگنال SIGTERM دریافت کند. این می‌تواند زمانی مفید باشد که بخواهید سرور را خاتمه دهید و سرور
.B slapd
جدیدی را
.B با پایگاه‌داده دیگری،
بدون ایجاد اختلال برای کلاینت‌های فعال فعلی راه‌اندازی کنید.
پیش‌فرض off است. ممکن است مایل باشید از
.B idletimeout
همراه با این گزینه استفاده کنید.
.TP
.B idletimeout <integer>
تعداد ثانیه‌های انتظار قبل از بستن اجباری یک اتصال کلاینت غیرفعال (idle) را مشخص می‌کند. تنظیم 0 این قابلیت را غیرفعال می‌کند. پیش‌فرض 0 است. ممکن است بخواهید گزینه
.B writetimeout
را نیز تنظیم کنید.
.TP
.B include <filename>
اطلاعات پیکربندی اضافی را قبل از ادامه با خط بعدی فایل فعلی، از فایل داده‌شده می‌خواند.
.TP
.B index_hash64 { on | off }
استفاده از هش ۶۴ بیتی برای نمایه‌سازی. پیش‌فرض استفاده از هش‌های ۳۲ بیتی است.
این هش‌ها برای نمایه‌سازی برابری و زیررشته استفاده می‌شوند. نسخه ۶۴ بیتی ممکن است برای جلوگیری از برخورد نمایه زمانی که تعداد مقادیر نمایه‌شده از حدود ۶۴ میلیون فراتر می‌رود مورد نیاز باشد. (توجه داشته باشید که نمایه‌سازی زیررشته به ازای هر مقدار مشخصه واقعی، چندین مقدار نمایه تولید می‌کند.)
نمایه‌های تولیدشده با هش‌های ۳۲ بیتی با نسخه ۶۴ بیتی ناسازگار هستند و برعکس. هنگام تغییر این تنظیم، هر پایگاه‌داده موجود باید به‌طور کامل دوباره بارگذاری شود. این دستورالعمل تنها بر روی پردازنده‌های ۶۴ بیتی پشتیبانی می‌شود.
.TP
.B index_intlen <integer>
طول کلید را برای نمایه‌های اعداد صحیح مرتب‌شده مشخص می‌کند. پرارزش‌ترین بایت‌های عدد صحیح باینری برای کلیدهای نمایه استفاده می‌شوند. مقدار پیش‌فرض 4 است که نمایه‌سازی دقیق را برای مقادیر ۳۱ بیتی فراهم می‌کند. برای نمایه‌سازی مقادیر بسیار بزرگ از یک نمایش ممیز شناور استفاده می‌شود.
.TP
.B index_substr_if_maxlen <integer>
حداکثر طول را برای نمایه‌های زیرآغازین و زیرپایانی (subinitial و subfinal) مشخص می‌کند. تنها این تعداد نویسه از یک مقدار مشخصه توسط توابع نمایه‌سازی پردازش می‌شوند؛ نویسه‌های اضافی نادیده گرفته می‌شوند. پیش‌فرض 4 است.
.TP
.B index_substr_if_minlen <integer>
حداقل طول را برای نمایه‌های زیرآغازین و زیرپایانی مشخص می‌کند. یک مقدار مشخصه باید حداقل این تعداد نویسه داشته باشد تا توسط توابع نمایه‌سازی پردازش شود. پیش‌فرض 2 است.
.TP
.B index_substr_any_len <integer>
طول استفاده‌شده برای نمایه‌های subany را مشخص می‌کند. یک مقدار مشخصه برای پردازش باید حداقل این تعداد نویسه داشته باشد. مقادیر مشخصه طولانی‌تر از این طول در بخش‌هایی به این طول پردازش می‌شوند. پیش‌فرض 4 است. نمایه subany همچنین در جستجوهای نمایه subinitial و subfinal زمانی که رشته فیلتر طولانی‌تر از مقدار
.I index_substr_if_maxlen
باشد استفاده خواهد شد.
.TP
.B index_substr_any_step <integer>
گام‌های استفاده‌شده در جستجوهای نمایه subany را مشخص می‌کند. این مقدار آفست را برای بخش‌هایی از رشته فیلتر که برای جستجوی نمایه subany پردازش می‌شوند تنظیم می‌کند. پیش‌فرض 2 است. به عنوان مثال، با مقادیر پیش‌فرض، جستجویی با استفاده از فیلتر "cn=*abcdefgh*" جستجوهای نمایه‌ای را برای "abcd"، "cdef" و "efgh" تولید می‌کند.

.LP
توجه: پشتیبانی از نمایه‌سازی به بک‌اند خاصِ مورد استفاده بستگی دارد. همچنین، تغییر این تنظیمات معمولاً نیازمند حذف هر نمایه‌ای است که به این پارامترها وابسته است و ایجاد مجدد آن‌ها با
.BR slapindex (8)
می‌باشد.

.HP
.hy 0
.B ldapsyntax "(\ <oid>\
 [DESC\ <description>]\
 [X\-SUBST <substitute-syntax>]\ )"
.RS
یک نحو LDAP را با استفاده از نحو LDAPv3 تعریف‌شده در RFC 4512 مشخص می‌کند.
تجزیه‌کننده slapd با مجاز دانستن استفاده از شکل‌های رشته‌ای و همچنین OIDهای عددی برای OID نحو، تعریف RFC 4512 را گسترش می‌دهد.
(به توضیحات
.B objectidentifier
مراجعه کنید.)
تجزیه‌کننده slapd همچنین از پسوند
.B X\-SUBST
(یک پسوند اختصاصی OpenLDAP) پیروی می‌کند که امکان می‌دهد با استفاده از دستورالعمل
.B ldapsyntax
یک نحو پیاده‌سازی‌نشده را همراه با نحو دیگری، یعنی مقدار پسوند
.IR substitute-syntax ،
به‌عنوان جایگزین موقت آن تعریف کرد.
مورد
.I substitute-syntax
باید تعریف شده باشد.
این کار امکان می‌دهد تا انواع مشخصه‌هایی که از نحوهای پیاده‌سازی‌نشده استفاده می‌کنند، با OID نحو صحیح تعریف شوند.
مگر اینکه
.B X\-SUBST
استفاده شود، این دستور پیکربندی منجر به بروز خطا خواهد شد،
چرا که هیچ گرداننده‌ای به ساختار نحو حاصل متصل نخواهد بود.
.RE
.TP
.B listener-threads <integer>
تعداد نخ‌هایی (threads) را که باید برای مدیر اتصال استفاده شود مشخص می‌کند.
مقدار پیش‌فرض ۱ است و این مقدار معمولاً برای حداکثر ۱۶ هسته پردازنده مناسب و کافی است.
این مقدار باید توانی از ۲ تنظیم شود.
.TP
.B localSSF <SSF>
فاکتور استحکام امنیتی (SSF) را برای نشست‌های محلی LDAP، مانند نشست‌های مربوط به شنونده ldapi://، مشخص می‌کند. برای شرح مقادیر SSF،
توضیحات گزینه
.B minssf
در
.B sasl-secprops
را ببینید. مقدار پیش‌فرض ۷۱ است.
.TP
.B logfile <filename>
فایلی را برای ثبت پیام‌های اشکال‌زدایی slapd مشخص می‌کند. این پیام‌ها ارتباطی با پیام‌های مشخص‌شده توسط پارامتر پیکربندی
.B loglevel
ندارند. این تنظیم تنها دیمن slapd را تحت تأثیر قرار می‌دهد و هیچ اثری بر ابزارهای خط فرمان ندارد. به‌طور پیش‌فرض، این پیام‌ها تنها به stderr ارسال می‌شوند و در هیچ جای دیگری ثبت نمی‌شوند.
مشخص کردن یک logfile پیام‌ها را هم به stderr و هم به فایل لاگ ارسال می‌کند.
.TP
.B logfile-format debug|syslog-utc|syslog-localtime|rfc3339-utc
قالب پیشوند پیام‌های نوشته‌شده در فایل لاگ را مشخص می‌کند. قالب debug همان قالب عادی مورد استفاده برای پیام‌های اشکال‌زدایی slapd است، با یک برچسب زمانی در مبنای شانزده، که پس از آن یک شناسه نخ (thread ID) می‌آید. گزینه‌های دیگر شامل استفاده از پیشوندهای سبک syslog(3) با برچسب‌های زمانی بر حسب UTC یا منطقه زمانی محلی هستند. مقدار پیش‌فرض قالب debug است.
.TP
.B logfile-only on | off
مشخص می‌کند که پیام‌های اشکال‌زدایی تنها به فایل لاگ پیکربندی‌شده ارسال شوند و به stderr نروند.
.TP
.B logfile-rotate <max> <Mbytes> <hours>
چرخش خودکار (rotation) را برای فایل لاگ پیکربندی‌شده مشخص می‌کند؛ به‌صورت حداکثر تعداد فایل‌های لاگ قدیمی برای نگهداری، حداکثر اندازه بر حسب مگابایت برای رشد فایل لاگ پیش از چرخش، و حداکثر عمر بر حسب ساعت برای استفاده از یک فایل لاگ پیش از چرخش. حداکثر تعداد باید در محدوده ۱ تا ۹۹ باشد.
تنظیم Mbytes یا hours روی صفر، به ترتیب بررسی اندازه یا سن فایل را غیرفعال می‌کند.
حداقل یکی از مقادیر Mbytes یا hours باید غیرصفر باشد. به‌طور پیش‌فرض هیچ چرخش خودکاری انجام نمی‌شود.
.TP
.B loglevel <integer> [...]
سطحی را مشخص می‌کند که در آن دستورهای اشکال‌زدایی و آمار عملیات باید از طریق syslog ثبت شوند (در حال حاضر در تسهیلات LOG_LOCAL4 مربوط به
.BR syslogd (8)
ثبت می‌شود).
این‌ها را باید بیشتر به عنوان زیرسیستم‌ها در نظر گرفت تا سطوح لاگ‌گیری که به تدریج پرحرف‌تر می‌شوند.
برخی از پیام‌های با اولویت بالاتر، به محض اینکه هر گونه ثبت لاگی پیکربندی شود، بدون در نظر گرفتن loglevel پیکربندی‌شده ثبت می‌شوند.
سطوح لاگ جمع‌پذیر (additive) هستند، و سطوح موجود عبارتند از:
.RS
.RS
.PD 0
.TP
.B 1
.B (0x1 trace)
ردگیری فراخوانی‌های توابع (trace)
.TP
.B 2
.B (0x2 packets)
اشکال‌زدایی پردازش بسته‌ها
.TP
.B 4
.B (0x4 args)
اشکال‌زدایی سنگین ردگیری (آرگومان‌های توابع)
.TP
.B 8
.B (0x8 conns)
مدیریت اتصالات
.TP
.B 16
.B (0x10 BER)
چاپ بسته‌های ارسالی و دریافتی
.TP
.B 32
.B (0x20 filter)
پردازش فیلترهای جستجو
.TP
.B 64
.B (0x40 config)
پردازش فایل پیکربندی
.TP
.B 128
.B (0x80 ACL)
پردازش فهرست کنترل دسترسی (ACL)
.TP
.B 256
.B (0x100 stats)
اتصالات، عملیات LDAP، نتایج (توصیه‌شده)
.TP
.B 512
.B (0x200 stats2)
ورودی‌های ثبت‌شده مربوط به stats2 ارسال شد
.TP
.B 1024
.B (0x400 shell)
چاپ ارتباطات با پس‌اندهای پوسته (shell backends)
.TP
.B 2048
.B (0x800 parse)
تجزیه مدخل‌ها (entry parsing)
\".TP
\".B 4096
\".B (0x1000 cache)
\"caching (unused)
\".TP
\".B 8192
\".B (0x2000 index)
\"data indexing (unused)
.TP
.B 16384
.B (0x4000 sync)
تکثیر LDAPSync
.TP
.B 32768
.B (0x8000 none)
تنها پیام‌هایی که صرف‌نظر از سطح لاگ تنظیم‌شده ثبت می‌شوند
.PD
.RE
سطح لاگ مورد نظر را می‌توان به صورت یک عدد صحیح منفرد وارد کرد که سطوح مورد نظر را با هم ترکیب می‌کند (از طریق OR بیتی)، چه در مبنای ده و چه در مبنای شانزده، یا به عنوان فهرستی از اعداد صحیح (که در داخل با هم OR می‌شوند)، یا به عنوان فهرستی از نام‌هایی که درون پرانتز نشان داده شده‌اند، به طوری که
.LP
.nf
    loglevel 129
    loglevel 0x81
    loglevel 128 1
    loglevel 0x80 0x1
    loglevel acl trace
.fi
.LP
با یکدیگر معادل هستند.
کلمه کلیدی
.B any
می‌تواند به عنوان یک میانبر برای فعال کردن لاگ‌گیری در تمام سطوح (معادل با \-1) استفاده شود.
کلمه کلیدی
.BR none ،
یا نمایش عددی معادل آن، باعث ثبت پیام‌هایی می‌شود که صرف‌نظر از loglevel پیکربندی‌شده ثبت می‌شوند.
در واقع، اگر loglevel روی ۰ تنظیم شود، هیچ لاگ‌گیری انجام نمی‌گیرد، بنابراین حداقل سطح
.B none
برای ثبت پیام‌های با اولویت بالا لازم است.

توجه داشته باشید که سطوح
.BR packets ،
.BR BER
و
.B parse
تنها به عنوان خروجی اشکال‌زدایی در stderr در دسترس هستند و به syslog ارسال نمی‌شوند.

مقدار پیش‌فرض loglevel برابر با \fBstats\fP است.
معمولاً هنگام استفاده از سایر سطوح لاگ نیز باید این سطح گنجانده شود تا به تحلیل گزارش‌ها کمک کند.
.RE
.TP
.B maxfilterdepth <integer>
حداکثر عمق فیلترهای تودرتو را در درخواست‌های جستجو مشخص می‌کند.
مقدار پیش‌فرض ۱۰۰۰ است.
.TP
.B moduleload <filename> [<arguments>...]
نام یک ماژول قابل بارگذاری پویا را برای بارگذاری و هرگونه آرگومان اضافی در صورت پشتیبانی توسط ماژول مشخص می‌کند. نام فایل می‌تواند یک مسیر مطلق یا یک نام فایل ساده باشد. نام‌های غیرمطلق در دایرکتوری‌های مشخص‌شده توسط گزینه
.B modulepath
جستجو می‌شوند. این گزینه و گزینه
.B modulepath
تنها در صورتی قابل استفاده هستند که slapd با \-\-enable\-modules کامپایل شده باشد.
.TP
.B modulepath <pathspec>
فهرستی از دایرکتوری‌ها را برای جستجوی ماژول‌های قابل بارگذاری مشخص می‌کند. معمولاً مسیرها با دو نقطه (colon) از هم جدا می‌شوند، اما این به سیستم‌عامل بستگی دارد. مقدار پیش‌فرض /usr/lib/openldap است، که محل قرارگیری ماژول‌ها در نصب استاندارد OpenLDAP می‌باشد.
.HP
.hy 0
.B objectclass "(\ <oid>\
 [NAME\ <name>]\
 [DESC\ <description>]\
 [OBSOLETE]\
 [SUP\ <oids>]\
 [{ ABSTRACT | STRUCTURAL | AUXILIARY }]\
 [MUST\ <oids>] [MAY\ <oids>] )"
.RS
یک objectclass را با استفاده از نحو LDAPv3 تعریف‌شده در RFC 4512 مشخص می‌کند.
تجزیه‌کننده slapd تعریف RFC 4512 را با اجازه دادن به استفاده از قالب‌های رشته‌ای در کنار OIDهای عددی برای OID رده شیء (object class OID) گسترش می‌دهد.
(توضیحات
.B objectidentifier
را ببینید.) رده‌های شیء به‌طور پیش‌فرض "STRUCTURAL" هستند.
.RE
.TP
.B objectidentifier <name> "{ <oid> | <name>[:<suffix>] }"
یک نام رشته‌ای تعریف می‌کند که معادل OID داده‌شده است. این رشته را می‌توان به جای OID عددی در تعاریف objectclass و ویژگی‌ها به کار برد. نام را می‌توان همچنین با یک پسوند به فرم ":xx" استفاده کرد که در این حالت مقدار "oid.xx" استفاده خواهد شد.
.TP
.B password\-hash <hash> [<hash>...]
این گزینه یک یا چند هش (hash) را پیکربندی می‌کند تا در تولید گذرواژه‌های کاربر ذخیره‌شده در ویژگی userPassword هنگام پردازش عملیات‌های گسترش‌یافته تغییر گذرواژه LDAP (مطابق RFC 3062) استفاده شوند.
مقدار <hash> باید یکی از موارد
.BR {SSHA} ،
.BR {SHA} ،
.BR {SMD5} ،
.BR {MD5} ،
.BR {CRYPT}
و
.B {CLEARTEXT}
باشد. مقدار پیش‌فرض
.B {SSHA}
است.

.B {SHA}
و
.B {SSHA}
از الگوریتم SHA-1 (استاندارد FIPS 160-1) استفاده می‌کنند، که دومی همراه با یک seed (دانه) است.

.B {MD5}
و
.B {SMD5}
از الگوریتم MD5 (مطابق RFC 1321) استفاده می‌کنند، که دومی همراه با یک seed است.

.B {CRYPT}
از
.BR crypt (3)
استفاده می‌کند.

.B {CLEARTEXT}
نشان می‌دهد که گذرواژه جدید باید به عنوان متن آشکار (clear text) به userPassword اضافه شود.

توجه داشته باشید که این گزینه رفتار برنامه‌های کاربردی عادی کاربر را در مدیریت userPassword هنگام عملیات‌های LDAP Add، Modify یا سایر عملیات LDAP تغییر نمی‌دهد.
.TP
.B password\-crypt\-salt\-format <format>
قالب سالت (salt) ارسال‌شده به
.BR crypt (3)
را هنگام تولید گذرواژه‌های {CRYPT} (ببینید
.BR password\-hash )
در حین پردازش عملیات‌های گسترش‌یافته تغییر گذرواژه LDAP (مطابق RFC 3062) مشخص می‌کند.

این رشته باید در قالب
.BR sprintf (3)
باشد و ممکن است شامل یک (و تنها یک) تبدیل %s باشد. این تبدیل با رشته‌ای از نویسه‌های تصادفی از [A\-Za\-z0\-9./] جایگزین خواهد شد. به عنوان مثال، "%.2s" یک سالت دو نویسه‌ای ارائه می‌دهد و "$1$%.8s" به برخی از نسخه‌های crypt(3) اعلام می‌کند که از الگوریتم MD5 استفاده کنند و یک سالت با ۸ نویسه تصادفی فراهم می‌کند. مقدار پیش‌فرض "%s" است که یک سالت ۳۱ نویسه‌ای ارائه می‌دهد.
.TP
.B pidfile <filename>
نام (مطلق) فایلی که شناسه فرایند (PID) سرور
.B slapd
را در خود نگه می‌دارد (ببینید
.BR getpid (2)).
.TP
.B pluginlog: <filename>
نام (مطلق) فایلی که شامل پیام‌های لاگ مربوط به افزونه‌های
.B SLAPI
خواهد بود. برای جزئیات
.BR slapd.plugin (5)
را ببینید.
.TP
.B referral <url>
ارجاع (referral) برگشتی را در زمانی که
.BR slapd (8)
نمی‌تواند یک پایگاه‌داده محلی برای پردازش درخواست پیدا کند، مشخص می‌کند.
اگر چندین بار مشخص شود، هر نشانی اینترنتی (url) ارائه می‌شود.
.TP
.B require <conditions>
مجموعه‌ای از شرایط (جداشده با فاصله) را برای الزام مشخص می‌کند (پیش‌فرض none است).
این دستورالعمل را می‌توان به‌صورت سراسری و/یا به ازای هر پایگاه‌داده مشخص کرد؛ پایگاه‌های داده شرایط سراسری را به ارث می‌برند، بنابراین مشخصات به ازای هر پایگاه‌داده جمع‌پذیر هستند.
.B bind
قبل از عملیات راهنما، نیاز به عملیات bind دارد.
.B LDAPv3
الزام می‌کند که نشست از نسخه ۳ LDAP استفاده کند.
.B authc
نیاز به احراز هویت پیش از عملیات راهنما دارد.
.B SASL
نیاز به احراز هویت SASL پیش از عملیات راهنما دارد.
.B strong
نیاز به احراز هویت قوی پیش از عملیات راهنما دارد. کلمه کلیدی strong به احراز هویت حفاظت‌شده «ساده» (simple) و همچنین احراز هویت SASL اجازه می‌دهد.
.B none
می‌تواند برای عدم الزام هیچ شرطی استفاده شود (برای پاک کردن شرایط تعیین‌شده به‌صورت سراسری درون یک پایگاه‌داده خاص مفید است)؛ این مورد باید در ابتدای فهرست شرایط قرار گیرد.
.TP
.B reverse\-lookup on | off
فعال/غیرفعال کردن جستجوی معکوس تأییدنشده نام سرویس‌گیرنده (در صورت کامپایل با \-\-enable\-rlookups، پیش‌فرض
.B off
است).
.TP
.B rootDSE <file>
نام یک فایل LDIF(5) شامل ویژگی‌های تعریف‌شده توسط کاربر برای root DSE را مشخص می‌کند. این ویژگی‌ها علاوه بر ویژگی‌هایی که به‌طور معمول توسط slapd تولید می‌شوند، بازگردانده می‌شوند.

شناسه root DSE مدخلی است حاوی اطلاعاتی درباره سرور و قابلیت‌های آن، در ویژگی‌های عملیاتی.
این مدخل دارای DN خالی است و می‌توان آن را به‌طور مثال با دستور زیر خواند:
.ti +4
ldapsearch \-x \-b "" \-s base "+"
.br
برای جزئیات به بخش 5.1 از RFC 4512 مراجعه کنید.
.TP
.B sasl\-auxprops <plugin> [...]
مشخص می‌کند که کدام افزونه‌های auxprop برای جستجوهای احراز هویت استفاده شوند. مقدار پیش‌فرض خالی است، که فقط از پشتیبانی داخلی slapd استفاده می‌کند. معمولاً به هیچ افزونه auxprop دیگری نیاز نیست.
.TP
.B sasl\-auxprops\-dontusecopy <attr> [...]
مشخص می‌کند کدام ویژگی(ها) باید مشمول کنترل «don't use copy» باشند. این امر برای کارکرد برخی مکانیزم‌های SASL مانند OTP در یک محیط تکثیرشده (replicated) ضروری است. ویژگی "cmusaslsecretOTP" مقدار پیش‌فرض است.
.TP
.B sasl\-auxprops\-dontusecopy\-ignore on | off
برای غیرفعال کردن تکثیر ویژگی(های) تعریف‌شده توسط sasl-auxprops-dontusecopy و استفاده از یک مقدار محلی برای آن ویژگی استفاده می‌شود. این به مکانیزم SASL اجازه می‌دهد در صورت آفلاین بودن تأمین‌کننده (provider) به کار خود ادامه دهد. این امر می‌تواند باعث ناسازگاری در تکثیر شود. مقدار پیش‌فرض off است.
.TP
.B sasl\-host <fqdn>
برای مشخص کردن نام دامنه کاملاً واجد شرایط (FQDN) مورد استفاده برای پردازش SASL به کار می‌رود.
.TP
.B sasl\-realm <realm>
قلمرو (realm) مربوط به SASL را مشخص می‌کند. پیش‌فرض خالی است.
.TP
.B sasl\-cbinding none | tls-unique | tls-endpoint
نوع پیوند کانال (channel-binding) را مشخص می‌کند؛ همچنین LDAP_OPT_X_SASL_CBINDING را ببینید.
پیش‌فرض none است.
.TP
.B sasl\-secprops <properties>
برای تعیین ویژگی‌های امنیتی Cyrus SASL استفاده می‌شود.
پرچم
.B none
(بدون هیچ ویژگی دیگر) باعث پاک شدن پیش‌فرض ویژگی‌های پرچم، یعنی "noanonymous,noplain" می‌شود.
پرچم
.B noplain
مکانیزم‌های آسیب‌پذیر در برابر حملات غیرفعال ساده را غیرفعال می‌کند.
پرچم
.B noactive
مکانیزم‌های آسیب‌پذیر در برابر حملات فعال را غیرفعال می‌کند.
پرچم
.B nodict
مکانیزم‌های آسیب‌پذیر در برابر حملات واژه‌نامه‌ای غیرفعال را غیرفعال می‌کند.
پرچم
.B noanonymous
مکانیزم‌هایی را که از ورود ناشناس پشتیبانی می‌کنند غیرفعال می‌کند.
پرچم
.B forwardsec
رازداری پیشرو (forward secrecy) را بین نشست‌ها الزامی می‌کند.
پرچم
.B passcred
مکانیزم‌هایی را الزامی می‌کند که اطلاعات اعتباری کلاینت را ارسال می‌کنند (و به مکانیزم‌هایی که می‌توانند اطلاعات اعتباری را ارسال کنند اجازه انجام این کار را می‌دهد).
ویژگی
.B minssf=<factor>
حداقل
.I فاکتور استحکام امنیتی
قابل قبول را به عنوان یک عدد صحیح تقریبی به طول کلید مؤثر مورد استفاده برای رمزنگاری مشخص می‌کند. ۰ (صفر) به معنی عدم حفاظت است، ۱ فقط حفاظت از یکپارچگی را می‌رساند، ۱۲۸ به RC4، Blowfish و سایر رمزهای مشابه اجازه فعالیت می‌دهد، ۲۵۶ به رمزهای مدرن نیاز خواهد داشت. مقدار پیش‌فرض ۰ است.
ویژگی
.B maxssf=<factor>
حداکثر
.I فاکتور استحکام امنیتی
قابل قبول را به عنوان یک عدد صحیح مشخص می‌کند (توضیحات minssf را ببینید). پیش‌فرض INT_MAX است.
ویژگی
.B maxbufsize=<size>
حداکثر اندازه مجاز بافر دریافت لایه امنیتی را مشخص می‌کند. مقدار ۰ لایه‌های امنیتی را غیرفعال می‌کند. مقدار پیش‌فرض ۶۵۵۳۶ است.
.TP
.B schemadn <dn>
نام متمایز (DN) را برای زیرمدخل زیرطرحواره (subschema subentry) که مدخل‌های این سرور را کنترل می‌کند، مشخص می‌کند. مقدار پیش‌فرض "cn=Subschema" است.
.TP
.B security <factors>
مجموعه‌ای از فاکتورهای استحکام امنیتی (جداشده با فاصله) را برای الزام مشخص می‌کند (برای شرح فاکتورهای استحکام امنیتی، گزینه
.B minssf
در
.B sasl\-secprops
را ببینید).
این دستورالعمل می‌تواند به‌صورت سراسری و/یا به ازای هر پایگاه‌داده مشخص شود.
.B ssf=<n>
فاکتور کلی استحکام امنیتی را مشخص می‌کند.
.B transport=<n>
فاکتور استحکام امنیتی انتقال (transport) را مشخص می‌کند.
.B tls=<n>
فاکتور استحکام امنیتی TLS را مشخص می‌کند.
.B sasl=<n>
فاکتور استحکام امنیتی SASL را مشخص می‌کند.
.B update_ssf=<n>
فاکتور کلی استحکام امنیتی لازم برای به‌روزرسانی‌های راهنما را مشخص می‌کند.
.B update_transport=<n>
فاکتور استحکام امنیتی انتقال لازم برای به‌روزرسانی‌های راهنما را مشخص می‌کند.
.B update_tls=<n>
فاکتور استحکام امنیتی TLS لازم برای به‌روزرسانی‌های راهنما را مشخص می‌کند.
.B update_sasl=<n>
فاکتور استحکام امنیتی SASL لازم برای به‌روزرسانی‌های راهنما را مشخص می‌کند.
.B simple_bind=<n>
فاکتور استحکام امنیتی لازم را برای احراز هویت
.I ساده
نام‌کاربری/گذرواژه مشخص می‌کند.
توجه داشته باشید که فاکتور
.B transport
معیاری از امنیت ارائه‌شده توسط لایه انتقال زیرین است، مانند ldapi:// (و در نهایت IPSEC). این گزینه معمولاً استفاده نمی‌شود.
.TP
.B serverID <integer> [<URL>]
یک شناسه عددی صحیح از ۰ تا ۴۰۹۵ را برای این سرور مشخص می‌کند. این شناسه می‌تواند با افزودن پیشوند "0x" به مقدار، به صورت شانزده‌شانزدهی (هگزادسیمال) نیز مشخص شود. شناسه‌های غیرصفر هنگام استفاده از تکثیر چندتأمین‌کننده‌ای (multi-provider replication) الزامی هستند و هر تأمین‌کننده باید یک شناسه غیرصفر یکتا داشته باشد. توجه داشته باشید که این الزام برای تأمین‌کننده‌های مجزایی که در یک مجموعه پایگاه‌داده چسبانده‌شده (glued) مشارکت دارند نیز صدق می‌کند.
اگر URL ارائه شود، این دستورالعمل را می‌توان چندین بار مشخص کرد که فهرستی کامل از سرورهای مشارکت‌کننده و شناسه‌های آن‌ها را فراهم می‌کند. نام کامل میزبان (FQDN) هر سرور باید در URLهای ارائه‌شده استفاده شود. این شناسه‌ها در فیلد "replica id" تمام CSNهای تولیدشده توسط سرور مشخص‌شده به کار می‌روند. مقدار پیش‌فرض صفر است که تنها برای تکثیر تک‌تأمین‌کننده‌ای معتبر است.
مثال:
.LP
.nf
	serverID 1 ldap://ldap1.example.com
	serverID 2 ldap://ldap2.example.com
.fi
.TP
.B sizelimit {<integer>|unlimited}
.TP
.B sizelimit size[.{soft|hard}]=<integer> [...]
حداکثر تعداد مدخل‌هایی را که از یک عملیات جستجو بازگردانده می‌شوند، مشخص می‌کند.
محدودیت اندازه پیش‌فرض ۵۰۰ است.
از
.B unlimited
برای تعیین عدم وجود محدودیت استفاده کنید.
قالب دوم امکان تنظیم دقیق‌تر محدودیت‌های اندازه را فراهم می‌کند.
اگر هیچ توصیف‌کننده خاصی مشخص نشود، هر دو محدودیت نرم (soft) و سخت (hard) تنظیم می‌شوند.
آرگومان‌های اضافی را می‌توان در همان خط اضافه کرد.
توصیف‌کننده‌های دیگری نیز موجود است؛ برای شرح تمام پرچم‌های مختلف،
.BR limits
را ببینید.
.TP
.B sockbuf_max_incoming <integer>
حداکثر اندازه PDU ورودی LDAP را برای نشست‌های ناشناس مشخص می‌کند.
مقدار پیش‌فرض ۲۶۲۱۴۳ است.
.TP
.B sockbuf_max_incoming_auth <integer>
حداکثر اندازه PDU ورودی LDAP را برای نشست‌های احراز هویت‌شده مشخص می‌کند.
مقدار پیش‌فرض ۴۱۹۴۳۰۳ است.
.TP
.B sortvals <attr> [...]
فهرستی از ویژگی‌های چندمقداری را مشخص می‌کند که مقادیر آن‌ها همیشه به ترتیب مرتب‌شده نگهداری می‌شوند. استفاده از این گزینه باعث می‌شود ارزیابی‌های Modify، Compare و فیلترها روی این ویژگی‌ها به شکل کارآمدتری انجام شود. ترتیب مرتب‌سازی حاصل به نحو و قواعد تطابق ویژگی‌ها بستگی دارد و ممکن است با ترتیب واژگانی یا هر ترتیب قابل تشخیص دیگری مطابقت نداشته باشد.
.TP
.B tcp-buffer [listener=<URL>] [{read|write}=]<size>
اندازه بافر TCP را مشخص می‌کند.
یک مقدار سراسری برای هر دو بافر خواندن و نوشتن TCP مربوط به هر شنونده تعریف می‌شود، مگر اینکه شنونده به‌صراحت مشخص شده باشد یا از توصیف‌کننده‌های read یا write استفاده شود.
برای جزئیات
.BR tcp (7)
را ببینید.
توجه داشته باشید که برخی سیستم‌های عامل تنظیم خودکار بافر TCP را پیاده‌سازی کرده‌اند.
.TP
.B threads <integer>
حداکثر اندازه استخر نخ (thread pool) اصلی را مشخص می‌کند.
مقدار پیش‌فرض ۱۶ است؛ حداقل مقدار ۲ است.
.TP
.B threadqueues <integer>
تعداد صف‌های کاری را برای استفاده در استخر نخ اصلی مشخص می‌کند.
مقدار پیش‌فرض ۱ است و این مقدار معمولاً برای حداکثر ۸ هسته پردازنده کافی است.
این مقدار نباید از تعداد CPUهای سیستم تجاوز کند.
.TP
.B timelimit {<integer>|unlimited}
.TP
.B timelimit time[.{soft|hard}]=<integer> [...]
حداکثر تعداد ثانیه‌ها (به وقت واقعی) را مشخص می‌کند که
.B slapd
صرف پاسخ دادن به یک درخواست جستجو خواهد کرد. محدودیت زمانی پیش‌فرض ۳۶۰۰ است.
از
.B unlimited
برای تعیین عدم وجود محدودیت استفاده کنید.
قالب دوم امکان تنظیم دقیق‌تر محدودیت‌های زمانی را فراهم می‌کند.
آرگومان‌های اضافی را می‌توان در همان خط اضافه کرد. برای شرح پرچم‌های مختلف،
.BR limits
را ببینید.
.TP
.B tool\-threads <integer>
حداکثر تعداد نخ‌ها برای استفاده در حالت ابزار را مشخص می‌کند.
این مقدار نباید از تعداد پردازنده‌های سیستم بیشتر باشد.
مقدار پیش‌فرض ۱ است.
.TP
.B writetimeout <integer>
تعداد ثانیه‌ها برای انتظار پیش از بستن اجباری یک اتصال با عملیات نوشتن معلق را مشخص می‌کند. این امر امکان بازیابی از شرایط مختلف هنگ کردن شبکه را فراهم می‌کند. مقدار writetimeout برابر ۰ این ویژگی را غیرفعال می‌کند. مقدار پیش‌فرض ۰ است.
.SH "گزینههای TLS (TLS OPTIONS)"
اگر
.B slapd
با پشتیبانی از امنیت لایه انتقال (TLS) کامپایل شده باشد، گزینه‌های بیشتری وجود دارند که می‌توانید مشخص کنید.
.TP
.B TLSCipherSuite <cipher-suite-spec>
امکان پیکربندی رمزهایی که پذیرفته می‌شوند و ترتیب اولویت آن‌ها را فراهم می‌کند.
<cipher-suite-spec> باید یک مشخصه رمز برای کتابخانه TLS مورد استفاده (OpenSSL یا GnuTLS) باشد.
مثال:
.RS
.RS
.TP
.I OpenSSL:
TLSCipherSuite HIGH:MEDIUM:+SSLv2
.TP
.I GnuTLS:
TLSCiphersuite SECURE256:!AES-128-CBC
.RE

برای بررسی اینکه یک مشخصه معین در OpenSSL چه رمزهایی را انتخاب می‌کند، از دستور زیر استفاده کنید:

.nf
	openssl ciphers \-v <cipher-suite-spec>
.fi

در GnuTLS مشخصات موجود را می‌توان در صفحه راهنمای
.BR gnutls\-cli (1)
پیدا کرد (توضیحات
گزینه
.BR \-\-priority
را ببینید).

در نسخه‌های قدیمی‌تر GnuTLS که gnutls\-cli از گزینه \-\-priority پشتیبانی نمی‌کند، می‌توانید با فراخوانی دستور زیر فهرست \(em محدودتر \(em رمزها را به دست آورید:

.nf
	gnutls\-cli \-l
.fi
.RE
.TP
.B TLSCACertificateFile <filename>
فایلی را مشخص می‌کند که حاوی گواهی‌های تمام مراجع صدور گواهی (CA) است که
.B slapd
آن‌ها را به رسمیت می‌شناسد. گواهی مرجع صدور گواهی که گواهی سرور را امضا کرده است باید(GnuTLS)/می‌تواند(OpenSSL) در میان این گواهی‌ها گنجانده شود. اگر CA امضاکننده یک مرجع صدور گواهی سطح بالا (ریشه) نبود، باید گواهی‌های کل دنباله CAها از CA امضاکننده تا CA سطح بالا وجود داشته باشد. گواهی‌های متعدد صرفاً به فایل اضافه می‌شوند؛ ترتیب آن‌ها اهمیتی ندارد.
.TP
.B TLSCACertificatePath <path>
مسیر پوشه‌هایی را مشخص می‌کند که حاوی گواهی‌های مرجع صدور گواهی در فایل‌های جداگانه منفرد هستند. معمولاً فقط یکی از این گزینه یا TLSCACertificateFile استفاده می‌شود. اگر هر دو مشخص شوند، از هر دو مکان استفاده خواهد شد. چندین پوشه را می‌توان با علامت نقطه‌ویرگول (semi-colon) از هم جدا کرد.
.TP
.B TLSCertificateFile <filename>
فایلی را مشخص می‌کند که حاوی گواهی سرور
.B slapd
است.

هنگام استفاده از OpenSSL آن فایل همچنین می‌تواند حاوی هر تعداد گواهی میانی پس از گواهی سرور باشد.
.TP
.B TLSCertificateKeyFile <filename>
فایلی را مشخص می‌کند که حاوی کلید خصوصی سرور
.B slapd
منطبق با گواهی ذخیره‌شده در فایل
.B TLSCertificateFile
است. در حال حاضر، کلید خصوصی نباید با گذرواژه محافظت شود، بنابراین بسیار حیاتی است که با دقت از آن محافظت گردد.
.TP
.B TLSDHParamFile <filename>
این دستورالعمل فایلی را مشخص می‌کند که حاوی پارامترهایی برای تبادل کلید موقت دیفی-هلمن (Diffie-Hellman ephemeral) است. این برای استفاده از یک گواهی DSA روی سرور یا یک گواهی RSA که فاقد کاربرد کلید "key encipherment" است لازم می‌باشد.
توجه داشته باشید که تنظیم این گزینه ممکن است تبادل کلید دیفی-هلمن ناشناس (Anonymous Diffie-Hellman) را نیز در برخی از مجموعه‌های رمز غیرپیش‌فرض فعال کند.
به‌طور کلی باید از تبادلات کلید ناشناس اجتناب شود زیرا هیچ احراز هویت واقعی کلاینت یا سرور را فراهم نمی‌کنند و هیچ حفاظتی در برابر حملات مرد میانی (man-in-the-middle) ارائه نمی‌دهند.
شما باید "!ADH" را به مجموعه‌های رمز خود اضافه کنید تا مطمئن شوید از این مجموعه‌ها استفاده نمی‌شود.
.TP
.B TLSECName <name>
نام منحنی(هایی) را برای استفاده در تبادل کلید موقت دیفی-هلمن منحنی بیضوی (ECDHE) مشخص می‌کند. این گزینه فقط برای OpenSSL استفاده می‌شود.
این گزینه با GnuTLS استفاده نمی‌شود؛ منحنی‌ها ممکن است در مشخصات ciphersuite مربوط به GnuTLS انتخاب شوند.
.TP
.B TLSProtocolMin <major>[.<minor>]
حداقل نسخه پروتکل SSL/TLS را که مذاکره خواهد شد مشخص می‌کند.
اگر سرور حداقل از آن نسخه پشتیبانی نکند،
دست‌تکانی SSL شکست خواهد خورد.
برای الزامی کردن TLS 1.x یا بالاتر، این گزینه را روی 3.(x+1) تنظیم کنید،
مثلاً:

.nf
	TLSProtocolMin 3.2
.fi

به TLS 1.1 نیاز خواهد داشت.
مشخص کردن حداقل نسخه‌ای بالاتر از آنچه توسط پیاده‌سازی OpenLDAP پشتیبانی می‌شود، باعث می‌شود بالاترین سطحی که پشتیبانی می‌کند الزامی شود.
این دستورالعمل در GnuTLS نادیده گرفته می‌شود.
.TP
.B TLSRandFile <filename>
فایلی را برای به دست آوردن بیت‌های تصادفی در زمانی که /dev/[u]random در دسترس نیست مشخص می‌کند. معمولاً روی نام سوکت EGD/PRNGD تنظیم می‌شود.
متغیر محیطی RANDFILE نیز می‌تواند برای تعیین نام فایل استفاده شود.
این دستورالعمل در GnuTLS نادیده گرفته می‌شود.
.TP
.B TLSVerifyClient <level>
مشخص می‌کند که چه بررسی‌هایی (در صورت وجود) باید روی گواهی‌های کلاینت در یک نشست ورودی TLS انجام شود.
مقدار
.B <level>
می‌تواند به‌عنوان یکی از کلیدواژه‌های زیر مشخص شود:
.RS
.TP
.B never
این مقدار پیش‌فرض است.
.B slapd
از کلاینت درخواست گواهی نخواهد کرد.
.TP
.B allow
گواهی کلاینت درخواست می‌شود. اگر گواهی ارائه نشود، نشست به‌طور عادی ادامه می‌یابد. اگر یک گواهی نامعتبر ارائه شود، نادیده گرفته می‌شود و نشست به‌طور عادی ادامه می‌یابد.
.TP
.B try
گواهی کلاینت درخواست می‌شود. اگر گواهی ارائه نشود، نشست به‌طور عادی ادامه می‌یابد. اگر یک گواهی نامعتبر ارائه شود، نشست بلافاصله خاتمه می‌یابد.
.TP
.B demand | hard | true
این کلیدواژه‌ها به دلایل سازگاری همگی معادل هستند.
گواهی کلاینت درخواست می‌شود. اگر هیچ گواهی ارائه نشود، یا یک گواهی نامعتبر ارائه شود، نشست بلافاصله خاتمه می‌یابد.

توجه داشته باشید که یک گواهی معتبر کلاینت برای استفاده از مکانیزم احراز هویت SASL EXTERNAL با یک نشست TLS مورد نیاز است. به این ترتیب، برای فعال کردن احراز هویت SASL EXTERNAL باید یک مقدار غیرپیش‌فرض برای
.B TLSVerifyClient
انتخاب شود.
.RE
.TP
.B TLSCRLCheck <level>
مشخص می‌کند که آیا فهرست ابطال گواهی (CRL) مربوط به CA باید برای بررسی اینکه آیا گواهی‌های کلاینت باطل نشده‌اند استفاده شود یا خیر. این نیازمند تنظیم پارامتر
.B TLSCACertificatePath
است. این دستورالعمل در GnuTLS نادیده گرفته می‌شود.
مقدار
.B <level>
می‌تواند به‌عنوان یکی از کلیدواژه‌های زیر مشخص شود:
.RS
.TP
.B none
هیچ بررسی CRL انجام نمی‌شود.
.TP
.B peer
بررسی CRL مربوط به گواهی همتا.
.TP
.B all
بررسی CRL برای کل زنجیره گواهی.
.RE
.TP
.B TLSCRLFile <filename>
فایلی حاوی یک فهرست ابطال گواهی را برای تأیید عدم ابطال گواهی‌ها مشخص می‌کند. این دستورالعمل فقط هنگام استفاده از GnuTLS معتبر است.
.SH "گزینههای عمومی بکاند (GENERAL BACKEND OPTIONS)"
گزینه‌ها در این بخش فقط برای بخش فایل پیکربندی تمام نمونه‌های بک‌اند مشخص‌شده اعمال می‌شوند. همه بک‌اندها ممکن است از این دسته گزینه‌ها پشتیبانی کنند، اما در حال حاضر فقط back-mdb از آن پشتیبانی می‌کند.
.TP
.B backend <databasetype>
شروع یک تعریف بک‌اند را نشانه‌گذاری می‌کند. <databasetype>
باید یکی از موارد زیر باشد:
.BR asyncmeta ،
.BR config ،
.BR dnssrv ،
.BR ldap ،
.BR ldif ،
.BR mdb ،
.BR meta ،
.BR monitor ،
.BR null ،
.BR passwd ،
.BR perl ،
.BR relay ،
.BR sock ،
.BR sql ،
یا
.BR wt .
در حال حاضر، تنها back-mdb گزینه‌هایی از این نوع را پیاده‌سازی می‌کند، بنابراین این تنظیم برای هیچ بک‌اند دیگری نیاز نیست.
.SH "گزینههای عمومی پایگاه داده (GENERAL DATABASE OPTIONS)"
گزینه‌های این بخش فقط برای بخشی از فایل پیکربندی اعمال می‌شوند که مربوط به همان پایگاه‌داده‌ای است که در آن تعریف شده‌اند. این گزینه‌ها توسط تمامی انواع بک‌اند پشتیبانی می‌شوند. توجه داشته باشید که گزینه
.B database
و حداقل یک گزینه
.B suffix
برای هر پایگاه‌داده اجباری هستند.
.TP
.B database <databasetype>
شروع تعریف یک نمونه جدید از پایگاه‌داده را مشخص می‌کند. <databasetype> بسته به اینکه کدام بک‌اند به پایگاه‌داده سرویس می‌دهد، باید یکی از موارد
.BR asyncmeta ،
.BR config ،
.BR dnssrv ،
.BR ldap ،
.BR ldif ،
.BR mdb ،
.BR meta ،
.BR monitor ،
.BR null ،
.BR passwd ،
.BR perl ،
.BR relay ،
.BR sock ،
.BR sql
یا
.BR wt
باشد.

عملیات‌های LDAP، حتی جستجوهای زیردرخت (subtree)، به‌طور معمول فقط به یک پایگاه‌داده دسترسی دارند.
این رفتار را می‌توان با پیوند زدن پایگاه‌های داده به یکدیگر با استفاده از کلیدواژه
.B subordinate
تغییر داد.
کنترل‌های دسترسی و برخی از اورلی‌ها (overlays) نیز می‌توانند چندین پایگاه‌داده را درگیر کنند.
.TP
.B add_content_acl on | off
کنترل می‌کند که آیا عملیات‌های افزودن (Add) بررسی‌های ACL را روی محتوای مدخلی که در حال افزوده شدن است انجام دهند یا خیر. این بررسی به‌طور پیش‌فرض
off
است. برای جزئیات بیشتر درباره الزامات ACL برای عملیات‌های Add، صفحه راهنمای
.BR slapd.access (5)
را ببینید.
.TP
.B extra_attrs <attrlist>
ویژگی‌هایی را فهرست می‌کند که باید به درخواست‌های جستجو افزوده شوند.
بک‌اندهای ذخیره‌سازی محلی کل مدخل را به بخش فرانت‌اند بازمی‌گردانند.
فرانت‌اند وظیفه دارد فقط ویژگی‌های درخواست‌شده‌ای را که توسط ACLها مجاز هستند، برگرداند.
با این حال، قابلیت‌هایی مانند بررسی دسترسی و غیره ممکن است به ویژگی‌های خاصی نیاز داشته باشند که توسط بک‌اندهای ذخیره‌سازی راه‌دور (مانند بک‌اندهای پراکسی و غیره) به‌طور خودکار بازگردانده نمی‌شوند.
.B <attrlist>
فهرستی از ویژگی‌ها است که برای اهداف داخلی مورد نیازند و بنابراین همیشه باید جمع‌آوری شوند، حتی زمانی که صراحتاً توسط کلاینت‌ها درخواست نشده باشند.
.TP
.B hidden on | off
کنترل می‌کند که آیا از این پایگاه‌داده برای پاسخ دادن به پرس‌وجوها استفاده شود یا خیر. پایگاه‌داده‌ای که پنهان (hidden) باشد هرگز برای پاسخ به هیچ پرس‌وجویی انتخاب نخواهد شد، و هر پسوند (suffix) پیکربندی‌شده روی این پایگاه‌داده در بررسی‌های تداخل با سایر پایگاه‌های داده نادیده گرفته می‌شود. به‌طور پیش‌فرض، hidden برابر با off است.
.TP
.B lastmod on | off
کنترل می‌کند که آیا
.B slapd
ویژگی‌های modifiersName، modifyTimestamp، creatorsName و createTimestamp را به‌طور خودکار برای مدخل‌ها نگه‌داری کند یا خیر. همچنین ویژگی‌های entryCSN و entryUUID را که مورد نیاز فراهم‌کننده syncrepl هستند کنترل می‌کند. به‌طور پیش‌فرض، lastmod برابر با on است.
.TP
.B lastbind on | off
کنترل می‌کند که آیا
.B slapd
ویژگی pwdLastSuccess را به‌طور خودکار برای مدخل‌ها نگه‌داری کند یا خیر. به‌طور پیش‌فرض، lastbind برابر با off است. در یک مصرف‌کننده رونوشت (replication consumer)، با فرض اینکه تنظیمات updateref و اورلی chain به‌درستی پیکربندی شده باشند، ویژگی pwdLastSuccess به ارائه‌دهنده (provider) بازفرستاده (forward) خواهد شد.
.TP
.B lastbind-precision <integer>
اگر lastbind فعال باشد، مشخص می‌کند که pwdLastSuccess هر چند وقت یک‌بار باید به‌روزرسانی شود. باید بیش از
.B integer
ثانیه از آخرین اتصال (bind) موفق گذشته باشد. در یک محیط تکثیرشده با فعالیت اتصال مکرر، ممکن است مفید باشد که این مقدار روی عددی بزرگ تنظیم شود.
.TP
.B limits <selector> <limit> [<limit> [...]]
محدودیت‌های زمانی و اندازه را بر اساس آغازگر عملیات یا DN پایه (base DN) مشخص می‌کند.
آرگومان
.B <selector>
می‌تواند هر یک از موارد زیر باشد:
.RS
.RS
.TP
anonymous | users | [<dnspec>=]<pattern> | group[/oc[/at]]=<pattern>

.RE
به همراه
.RS
.TP
<dnspec> ::= dn[.<type>][.<style>]
.TP
<type>  ::= self | this
.TP
<style> ::= exact | base | onelevel | subtree | children | regex | anonymous

.RE
نوع DN یعنی
.B self
پیش‌فرض است و به معنای کاربری است که متصل (bound) شده است، در حالی که
.B this
به معنای DN پایه عملیات است.
عبارت
.B anonymous
با تمام کلاینت‌های احرازهویت‌نشده مطابقت دارد.
عبارت
.B users
با تمام کلاینت‌های احرازهویت‌شده مطابقت دارد؛
در غیر این صورت، یک الگوی dn از نوع
.B exact
فرض می‌شود، مگر اینکه با توصیف رشته کلیدی (اختیاری)
.B dn
با
.B exact
یا
.B base
(که مترادف هستند)، برای الزام تطابق دقیق مشخص شده باشد؛ با
.BR onelevel ،
برای الزام تطابق در دقیقاً یک سطح عمق؛ با
.BR subtree ،
برای اجازه تطابق در هر سطحی از عمق، شامل تطابق دقیق؛ با
.BR children ،
برای اجازه تطابق در هر سطحی از عمق، بدون شامل شدن تطابق دقیق؛
.BR regex
به‌صراحت تطابق (پیش‌فرض) را بر اساس الگوی عبارت منظم POSIX (از نوع «extended») الزامی می‌کند.
در نهایت،
.B anonymous
با عملیات‌های متصل‌نشده (unbound) مطابقت دارد؛ فیلد
.B pattern
نادیده گرفته می‌شود.
همین رفتار با استفاده از حالت
.B anonymous
در بند
.B <selector>
نیز به دست می‌آید.
عبارت
.BR group ،
با فیلدهای اختیاری کلاس شیء
.B oc
و نوع ویژگی
.BR at ،
به دنبال
.BR pattern ،
محدودیت‌ها را برای هر DN فهرست‌شده در مقادیر ویژگی
.B at
(پیش‌فرض
.BR member )
از کلاس شیء گروهی
.B oc
(پیش‌فرض
.BR groupOfNames )
که DN آن دقیقاً با
.BR pattern
مطابقت دارد، تنظیم می‌کند.

محدودیت‌های پشتیبانی‌شده کنونی
.B size
و
.BR time
هستند.

نحو محدودیت‌های زمانی به‌صورت
.BR time[.{soft|hard}]=<integer>
است که در آن
.I integer
تعداد ثانیه‌هایی است که slapd برای پاسخ دادن به یک درخواست جستجو صرف خواهد کرد.
اگر هیچ محدودیت زمانی به‌طور صریح توسط کلاینت درخواست نشده باشد، محدودیت
.BR soft
استفاده می‌شود؛ اگر محدودیت زمانیِ درخواست‌شده از محدودیت
.BR hard
.\"limit, an
.\".I "Administrative limit exceeded"
.\"error is returned.
فراتر رود، مقدار این محدودیت به جای آن استفاده می‌شود.
اگر محدودیت
.BR hard
روی کلیدواژه
.IR soft
تنظیم شود، در هر دو حالت محدودیت نرم (soft) استفاده خواهد شد؛ اگر روی کلیدواژه
.IR unlimited
تنظیم شود، هیچ محدودیت سختی (hard) اعمال نمی‌گردد.
درخواست‌های صریح برای محدودیت‌های زمانی کوچک‌تر یا مساوی با محدودیت
.BR hard
پذیرفته و رعایت می‌شوند.
اگر هیچ تعیین‌کننده محدودیتی (specifier) مشخص نشده باشد، مقدار به محدودیت
.BR soft
اختصاص داده می‌شود و محدودیت
.BR hard
برای حفظ رفتار اصلی روی
.IR soft
تنظیم می‌شود.

نحو محدودیت‌های اندازه به‌صورت
.BR size[.{soft|hard|unchecked}]=<integer>
است که در آن
.I integer
حداکثر تعداد مدخل‌هایی است که slapd در پاسخ به یک درخواست جستجو برمی‌گرداند.
اگر هیچ محدودیت اندازه‌ای به‌صراحت توسط کلاینت درخواست نشده باشد، محدودیت
.BR soft
استفاده می‌شود؛ اگر محدودیت اندازه درخواستی از محدودیت
.BR hard
.\"limit, an 
.\".I "Administrative limit exceeded"
.\"error is returned.
فراتر رود، به جای آن از مقدار این محدودیت استفاده می‌شود.
اگر محدودیت
.BR hard
روی کلیدواژه
.IR soft
تنظیم شود، در هر دو حالت محدودیت نرم استفاده می‌شود؛ اگر روی کلیدواژه
.IR unlimited
تنظیم شود، هیچ محدودیت سختی اعمال نمی‌گردد.
درخواست‌های صریح برای محدودیت‌های اندازه کوچک‌تر یا مساوی با محدودیت
.BR hard
رعایت می‌شوند.
تعیین‌کننده
.BR unchecked
محدودیتی بر تعداد کاندیداهایی که یک درخواست جستجو مجاز به بررسی آن‌ها است اعمال می‌کند.
منطق پشت این امر این است که جستجو برای ویژگی‌هایی که به‌درستی نمایه‌سازی نشده‌اند ممکن است به مجموعه‌های بزرگی از کاندیداها منجر شود، که باید توسط
.BR slapd (8)
بررسی شوند تا مشخص گردد آیا با فیلتر جستجو مطابقت دارند یا خیر.
محدودیت
.B unchecked
راهکاری برای صرف‌نظر کردن از چنین عملیات‌هایی پیش از حتی شروع آن‌ها فراهم می‌کند.
اگر کاندیداهای انتخاب‌شده از محدودیت
.BR unchecked
بیشتر شوند، جستجو با خطای
.IR "Unwilling to perform"
متوقف خواهد شد.
اگر روی کلیدواژه
.IR unlimited
تنظیم شود، هیچ محدودیتی اعمال نمی‌شود (پیش‌فرض).
اگر روی
.IR disabled
تنظیم شود، جستجو حتی انجام هم نمی‌شود؛ از این قابلیت می‌توان برای غیرمجاز کردن جستجوها برای گروه خاصی از کاربران استفاده کرد.
اگر هیچ تعیین‌کننده محدودیتی مشخص نشده باشد، مقدار به محدودیت
.BR soft
اختصاص می‌یابد، و محدودیت
.BR hard
برای حفظ رفتار اصلی روی
.IR soft
تنظیم می‌شود.

در صورت عدم تطابق، از محدودیت‌های سراسری استفاده می‌شود.
مقادیر پیش‌فرض مشابه مقادیر
.B sizelimit
و
.BR timelimit
هستند؛ هیچ محدودیتی برای
.BR unchecked
تعیین نشده است.

اگر کنترل
.B pagedResults
درخواست شود، به‌طور پیش‌فرض از محدودیت اندازه
.B hard
استفاده می‌شود، چرا که درخواست یک اندازه صفحه مشخص، درخواستی صریح برای محدود کردن تعداد مدخل‌های برگشتی تلقی می‌گردد.
با این حال، محدودیت اندازه بر تعداد کل مدخل‌های بازگردانده‌شده در کل جستجو اعمال می‌شود، نه بر یک صفحه منفرد.
محدودیت‌های اندازه بیشتری را نیز می‌توان اعمال کرد؛ نحو آن به‌صورت
.BR size.pr={<integer>|noEstimate|unlimited}
است، که در آن
.I integer
در صورتی که محدودیت صریحی تعیین نشده باشد، حداکثر اندازه صفحه است؛ کلیدواژه
.I noEstimate
سرور را از بازگرداندن تخمینی از تعداد کل مدخل‌هایی که ممکن است بازگردانده شوند بازمی‌دارد
(توجه: پیاده‌سازی فعلی هیچ تخمینی برنمی‌گرداند).
کلیدواژه
.I unlimited
نشان می‌دهد که هیچ محدودیتی بر اندازه صفحه کنترل pagedResults اعمال نمی‌شود.
نحو
.B size.prtotal={<integer>|hard|unlimited|disabled}
امکان تعیین محدودیتی را بر تعداد کل مدخل‌هایی که کنترل pagedResults برمی‌گرداند، فراهم می‌سازد.
به‌طور پیش‌فرض روی محدودیت
.B hard
تنظیم شده است که از مقدار size.hard استفاده خواهد کرد.
در صورت تنظیم شدن،
.I integer
حداکثر تعداد مدخل‌هایی است که کل جستجو با کنترل pagedResults می‌تواند برگرداند.
از
.I unlimited
استفاده کنید تا بازگرداندن تعداد نامحدودی از مدخل‌ها مجاز باشد؛ مثلاً برای اینکه امکان استفاده از کنترل pagedResults به عنوان ابزاری برای دور زدن محدودیت‌های اندازه در جستجوهای عادی فراهم شود؛ کلیدواژه
.I disabled
کنترل را غیرفعال می‌کند، یعنی هیچ نتیجه صفحه‌بندی‌شده‌ای نمی‌تواند بازگردانده شود.
توجه داشته باشید که کل مدخل‌های برگشتی هنگام درخواست کنترل pagedResults نمی‌تواند از محدودیت اندازه
.B hard
جستجوهای عادی فراتر رود، مگر اینکه با سوییچ
.B prtotal
گسترش یافته باشد.

دستور \fBlimits\fP معمولاً برای این استفاده می‌شود که به جستجوهایی که با هویت مورداستفادهٔ مصرف‌کننده برای اهداف همگام‌سازی از طریق پروتکل همگام‌سازی محتوای LDAP (استاندارد RFC 4533) انجام می‌شوند، اجازه دهد تعداد نامحدودی مدخل را بازگردانند
(برای جزئیات \fBsyncrepl\fP را ببینید).

هنگام استفاده از پایگاه‌های داده تابع (subordinate)، لازم است هر محدودیتی که قرار است در والد و پایگاه‌های داده تابع آن اعمال شود، هم در والد و هم در تابع‌ها تعریف گردد. در غیر این صورت تنظیمات روی پایگاه‌های داده تابع رعایت نخواهند شد.
.RE
.TP
.B maxderefdepth <depth>
حداکثر تعداد نام‌های مستعار (alias) را که هنگام تلاش برای پیدا کردن یک مدخل می‌توان بازگشایی (dereference) کرد، مشخص می‌کند که برای جلوگیری از حلقه‌های نامتناهی نام‌های مستعار استفاده می‌شود. مقدار پیش‌فرض ۱۵ است.
.TP
.B multiprovider on | off
این گزینه یک پایگاه‌داده مصرف‌کننده را در حالت «چندفراهم‌کننده» (Multi-Provider) قرار می‌دهد. عملیات‌های به‌روزرسانی از هر کاربری پذیرفته می‌شوند، نه فقط از updatedn. پایگاه‌داده باید پیش از اینکه این کلیدواژه تنظیم شود، از قبل به‌عنوان یک مصرف‌کننده syncrepl پیکربندی شده باشد. این حالت همچنین به پیکربندی یک
.B serverID
(در بالا ببینید) نیاز دارد.
به‌طور پیش‌فرض، multiprovider برابر با off است.
.TP
.B monitoring on | off
اگر پایگاه‌داده monitor فعال باشد، این گزینه نظارت ویژهٔ پایگاه‌داده را در مدخل مربوط به پایگاه‌داده فعلی در زیردرخت "cn=Databases,cn=Monitor" پایگاه‌داده monitor فعال می‌کند.
در حال حاضر، فقط پایگاه‌داده MDB نظارت ویژهٔ پایگاه‌داده را فراهم می‌کند.
اگر نظارت توسط بک‌اند پشتیبانی شود، پیش‌فرض آن on است، در غیر این صورت off است.
.TP
.B overlay <overlay-name>
اورلیِ (overlay) مشخص‌شده را به این پایگاه‌داده اضافه می‌کند. اورلی قطعه‌کدی است که عملیات‌های پایگاه‌داده را رهگیری می‌کند تا آن‌ها را گسترش داده یا تغییر دهد. اورلی‌ها روی یک پشته بر روی پایگاه‌داده قرار می‌گیرند (push می‌شوند)، و بنابراین با ترتیبی معکوس ترتیبی که پیکربندی شده‌اند اجرا خواهند شد و خود پایگاه‌داده در آخرین مرحله کنترل را دریافت خواهد کرد. برای یک نمای کلی از اورلی‌های موجود، صفحه راهنمای
.BR slapd.overlays (5)
را ببینید.
توجه داشته باشید که تمام تنظیمات معمول پایگاه‌داده باید پیش از هرگونه تنظیمات اورلی پیکربندی شوند.
.TP
.B readonly on | off
این گزینه پایگاه‌داده را در حالت «فقط‌خواندنی» (read-only) قرار می‌دهد. هرگونه تلاش برای تغییر پایگاه‌داده، خطای «unwilling to perform» را برمی‌گرداند. به‌طور پیش‌فرض، readonly برابر با off است.
.TP
.B restrict <oplist>
فهرستی از عملیات‌های محدودشده را که با فاصله از هم جدا شده‌اند مشخص می‌کند. اگر در داخل مشخصات یک پایگاه‌داده تعریف شود، محدودیت‌ها فقط بر همان پایگاه‌داده اعمال می‌شوند، در غیر این صورت سراسری خواهند بود.
عملیات‌ها می‌توانند هر یک از موارد
.BR add ،
.BR bind ،
.BR compare ،
.BR delete ،
.BR extended[=<OID>] ،
.BR modify ،
.BR rename ،
.BR search ،
یا شبه‌عملیات‌های ویژه
.B read
و
.BR write
باشند که به ترتیب عملیات خواندن و نوشتن را خلاصه می‌کنند.
استفاده از
.I restrict write
معادل
.I readonly on
است (در بالا ببینید).
کلیدواژه
.B extended
به فرد اجازه می‌دهد OID مربوط به عملیات خاصی را که باید محدود شود تعیین کند.
.TP
.B rootdn <dn>
نام متمایزی (DN) را مشخص می‌کند که مشمول محدودیت‌های کنترل دسترسی یا محدودیت‌های مدیریتی برای عملیات روی این پایگاه‌داده نیست. این DN ممکن است با یک مدخل مرتبط باشد یا نباشد. یک DN ریشه خالی (پیش‌فرض) مشخص می‌کند که هیچ دسترسی ریشه‌ای اعطا نخواهد شد. توصیه می‌شود که rootdn فقط در صورت نیاز مشخص شود (مانند زمان پر کردن اولیه پایگاه‌داده). اگر rootdn درون یک namingContext (پسوند) از پایگاه‌داده باشد، می‌توان با استفاده از دستور
.B rootpw
یک گذرواژه اتصال ساده (simple bind) نیز ارائه داد. بسیاری از ویژگی‌های اختیاری، از جمله syncrepl، نیازمند تعریف rootdn برای پایگاه‌داده هستند.
.TP
.B rootpw <password>
یک گذرواژه (یا هش گذرواژه) برای rootdn مشخص می‌کند. گذرواژه تنها در صورتی می‌تواند تنظیم شود که rootdn درون namingContext (پسوند) پایگاه‌داده باشد.
این گزینه تمام فرمت‌های userPassword استاندارد RFC 2307 شناخته‌شده برای سرور (به توضیحات
.B password\-hash
مراجعه کنید) و همچنین متن آشکار (cleartext) را می‌پذیرد.
می‌توان از
.BR slappasswd (8)
برای تولید هش گذرواژه استفاده کرد. گذرواژه‌های متن آشکار و \fB{CRYPT}\fP توصیه نمی‌شوند. در صورت خالی بودن (پیش‌فرض)، احراز هویت DN ریشه با روش‌های دیگر (مثلاً SASL) انجام می‌شود. استفاده از SASL تشویق می‌شود.
.TP
.B suffix <dn suffix>
پسوند DN پرس‌وجوهایی را که به این پایگاه‌داده بک‌اند ارسال می‌شوند مشخص می‌کند. چندین خط suffix را می‌توان ارائه داد و حداقل یکی از آن‌ها برای هر تعریف پایگاه‌داده الزامی است.

اگر پسوند یک پایگاه‌داده «درون» پایگاه‌داده دیگری باشد، پایگاه‌داده دارای پسوند داخلی باید ابتدا در فایل پیکربندی قرار گیرد. همچنین ممکن است بخواهید چنین پایگاه‌های داده‌ای را با کلیدواژه
.B subordinate
به یکدیگر پیوند دهید.
.TP
.B subordinate [advertise]
مشخص می‌کند که پایگاه‌داده بک‌اند فعلی زیرمجموعه (subordinate) پایگاه‌داده بک‌اند دیگری است. یک پایگاه‌داده زیرمجموعه فقط می‌تواند یک پسوند داشته باشد. این گزینه می‌تواند برای پیوند دادن چندین پایگاه‌داده در یک namingContext واحد استفاده شود. اگر پسوند پایگاه‌داده فعلی درون namingContext یک پایگاه‌داده بالادست (superior) باشد، جستجوها در برابر پایگاه‌داده بالادست به پایگاه‌داده زیرمجموعه نیز منتقل می‌شوند. تمام پایگاه‌های داده مرتبط با یک namingContext واحد باید rootdn یکسانی داشته باشند. رفتار سایر عملیات LDAP تحت تأثیر این تنظیم قرار نمی‌گیرد. به‌ویژه، امکان استفاده از moddn برای انتقال یک مدخل از یک زیرمجموعه به زیرمجموعه دیگر در یک namingContext وجود ندارد.

اگر پرچم اختیاری \fBadvertise\fP ارائه شود، بافت نام‌گذاری (naming context) این پایگاه‌داده در DSE ریشه تبلیغ می‌شود. پیش‌فرض این است که این بافت پایگاه‌داده پنهان شود، به طوری که تنها بافت بالادست قابل مشاهده باشد.

اگر از ابزارهای slap شامل
.BR slapcat (8)،
.BR slapadd (8)،
.BR slapmodify (8)
یا
.BR slapindex (8)
روی پایگاه‌داده بالادست استفاده شود، هر زیرمجموعه پیوندخورده‌ای که از این ابزارها پشتیبانی کند نیز باز می‌شود.

پایگاه‌های داده‌ای که به هم پیوند خورده‌اند معمولاً باید با نمایه‌های یکسان پیکربندی شوند (با فرض اینکه از نمایه‌سازی پشتیبانی کنند)، حتی برای مشخصه‌هایی که فقط در برخی از این پایگاه‌های داده وجود دارند. به‌طور کلی، تمام پایگاه‌های داده پیوندخورده باید تا حد امکان به طور مشابه پیکربندی شوند، زیرا هدف ارائه ظاهر یک دایرکتوری واحد است.

توجه داشته باشید که عملکرد \fIsubordinate\fP در داخل توسط اورلی \fIglue\fP پیاده‌سازی شده است و به همین دلیل رفتار آن با سایر اورلی‌های مورد استفاده تعامل خواهد داشت. به‌طور پیش‌فرض، اورلی glue به‌طور خودکار به‌عنوان آخرین اورلی در پایگاه‌داده بالادست پیکربندی می‌شود. موقعیت آن در پایگاه‌داده را می‌توان با تنظیم دستور \fBoverlay glue\fP در موقعیت مورد نظر صراحتاً پیکربندی کرد. این پیکربندی صریح برای مثال هنگام استفاده از اورلی \fIsyncprov\fP ضروری است، که باید بعد از \fIglue\fP قرار گیرد تا بر روی تمام پایگاه‌های داده پیوندخورده کار کند. به عنوان مثال:
.RS
.nf
	database mdb
	suffix dc=example,dc=com
	...
	overlay glue
	overlay syncprov
.fi
.RE
.TP
.B sync_use_subentry 
ذخیره contextCSN مربوط به syncrepl در یک زیرمدخل (subentry) به جای مدخل بافت پایگاه‌داده. مقدار RDN زیرمدخل "cn=ldapsync" خواهد بود. به‌طور پیش‌فرض، contextCSN در مدخل بافت ذخیره می‌شود.
.HP
.hy 0
.B syncrepl rid=<replica ID>
.B provider=ldap[s]://<hostname>[:port]
.B searchbase=<base DN>
.B [type=refreshOnly|refreshAndPersist]
.B [interval=dd:hh:mm:ss]
.B [retry=[<retry interval> <# of retries>]+]
.B [filter=<filter str>]
.B [scope=sub|one|base|subord]
.B [attrs=<attr list>]
.B [exattrs=<attr list>]
.B [attrsonly]
.B [sizelimit=<limit>]
.B [timelimit=<limit>]
.B [schemachecking=on|off]
.B [network\-timeout=<seconds>]
.B [timeout=<seconds>]
.B [tcp\-user\-timeout=<milliseconds>]
.B [bindmethod=simple|sasl]
.B [binddn=<dn>]
.B [saslmech=<mech>]
.B [authcid=<identity>]
.B [authzid=<identity>]
.B [credentials=<passwd>]
.B [realm=<realm>]
.B [secprops=<properties>]
.B [keepalive=<idle>:<probes>:<interval>]
.B [starttls=yes|critical]
.B [tls_cert=<file>]
.B [tls_key=<file>]
.B [tls_cacert=<file>]
.B [tls_cacertdir=<path>]
.B [tls_reqcert=never|allow|try|demand]
.B [tls_reqsan=never|allow|try|demand]
.B [tls_cipher_suite=<ciphers>]
.B [tls_ecname=<names>]
.B [tls_crlcheck=none|peer|all]
.B [tls_protocol_min=<major>[.<minor>]]
.B [suffixmassage=<real DN>]
.B [logbase=<base DN>]
.B [logfilter=<filter str>]
.B [syncdata=default|accesslog|changelog]
.B [lazycommit]
.RS
پایگاه‌داده فعلی را به‌عنوان مصرف‌کننده‌ای مشخص می‌کند که با برقراری
.BR slapd (8)
فعلی به‌عنوان یک سایت مصرف‌کننده همگام‌سازی که موتور همگام‌سازی
.B syncrepl
را اجرا می‌کند، با محتوای فراهم‌کننده به‌روز نگه داشته می‌شود.
محتوای مصرف‌کننده با استفاده از پروتکل همگام‌سازی محتوای LDAP با محتوای فراهم‌کننده همگام نگه داشته می‌شود. برای اطلاعات دقیق در مورد راه‌اندازی یک سرویس دایرکتوری همگام‌سازی‌شده
.B slapd
با استفاده از موتور همگام‌سازی
.B syncrepl
به "راهنمای مدیر OpenLDAP" مراجعه کنید.

.B rid
دستورالعمل فعلی
.B syncrepl
را در سایت مصرف‌کننده همگام‌سازی شناسایی می‌کند.
این یک عدد صحیح غیرمنفی حداکثر تا 999 است (محدود به سه رقم ده‌دهی).

.B provider
سایت فراهم‌کننده همگام‌سازی حاوی محتوای فراهم‌کننده را به‌عنوان یک URI در LDAP مشخص می‌کند. اگر <port> داده نشود، از شماره پورت استاندارد LDAP (389 یا 636) استفاده می‌شود.

محتوای مصرف‌کننده
.B syncrepl
با استفاده از مشخصات جستجو به‌عنوان مجموعه نتایج آن تعریف می‌شود. دیمن
.B slapd
مصرف‌کننده درخواست‌های جستجو را مطابق با مشخصات جستجو به
.B slapd
فراهم‌کننده ارسال می‌کند. مشخصات جستجو شامل پارامترهای
.BR searchbase "، " scope "، " filter "، " attrs "، " attrsonly "، " sizelimit
و
.B timelimit
مشابه مشخصات جستجوی عادی است. گزینه
.B exattrs
همچنین می‌تواند برای تعیین مشخصه‌هایی که باید از مدخل‌های دریافتی حذف شوند استفاده شود.
مقدار \fBscope\fP به‌طور پیش‌فرض \fBsub\fP، مقدار \fBfilter\fP به‌طور پیش‌فرض \fB(objectclass=*)\fP است و هیچ پیش‌فرضی برای \fBsearchbase\fP وجود ندارد. فهرست \fBattrs\fP به‌طور پیش‌فرض \fB"*,+"\fP است تا همه مشخصه‌های کاربر و عملیاتی را بازگرداند، و \fBattrsonly\fP و \fBexattrs\fP به‌طور پیش‌فرض تنظیم نشده‌اند. پارامترهای \fBsizelimit\fP و \fBtimelimit\fP فقط "unlimited" و اعداد صحیح مثبت را می‌پذیرند، و هر دو به‌طور پیش‌فرض "unlimited" هستند. پارامترهای \fBsizelimit\fP و \fBtimelimit\fP محدودیتی را تعریف می‌کنند که مصرف‌کننده برای تعداد مدخل‌های قابل بازگردانی توسط عملیات همگام‌سازی محتوای LDAP درخواست کرده است؛ این مقادیر باید از مقدار پیش‌فرض بدون تغییر باقی بمانند در غیر این صورت ممکن است همگام‌سازی هرگز موفق نشود.
توجه داشته باشید که هرگونه محدودیت سمت فراهم‌کننده برای هویت همگام‌سازی توسط فراهم‌کننده بدون در نظر گرفتن محدودیت‌های درخواستی توسط عملیات همگام‌سازی محتوای LDAP اعمال خواهد شد، درست مانند هر عملیات جستجوی دیگر.

پروتکل همگام‌سازی محتوای LDAP دارای دو نوع عملیات است.
در عملیات
.BR refreshOnly ،
عملیات جستجوی همگام‌سازی بعدی به‌طور دوره‌ای در یک بازه زمانی (مشخص‌شده با پارامتر
.BR interval ؛
به‌طور پیش‌فرض ۱ روز) پس از اتمام هر عملیات همگام‌سازی دوباره زمان‌بندی می‌شود.
در عملیات
.BR refreshAndPersist ،
یک جستجوی همگام‌سازی در slapd فراهم‌کننده پایدار می‌ماند.
به‌روزرسانی‌های بعدی در فراهم‌کننده، پاسخ‌های جستجوی
.B searchResultEntry
را به عنوان پاسخ‌های جستجو به جستجوی همگام‌سازی پایدار به slapd مصرف‌کننده ارسال خواهند کرد. اگر جستجوی اولیه به دلیل خطا شکست بخورد، عملیات جستجوی همگام‌سازی بعدی به‌طور دوره‌ای در یک بازه زمانی (مشخص‌شده با پارامتر
.BR interval ؛
پیش‌فرض ۱ روز) زمان‌بندی می‌شود.

اگر در حین همگام‌سازی خطایی رخ دهد، مصرف‌کننده طبق پارامتر
.B retry
که فهرستی از جفت‌های <retry interval> و <# of retries> است، اقدام به اتصال مجدد می‌کند. به عنوان مثال، retry="60 10 300 3" به مصرف‌کننده اجازه می‌دهد برای ۱۰ بار اول هر ۶۰ ثانیه یک‌بار دوباره تلاش کند و سپس برای ۳ بار بعدی هر ۳۰۰ ثانیه یک‌بار قبل از توقف تلاش، مجدداً تلاش کند. علامت '+' در <# of retries> به معنای تعداد نامحدود تلاش مجدد تا زمان موفقیت است.
اگر هیچ
.B retry
مشخص نشده باشد، به‌طور پیش‌فرض syncrepl هر ساعت تا ابد تلاش مجدد می‌کند.

بررسی اسکِما را می‌توان در سایت مصرف‌کننده همگام‌سازی LDAP با روشن کردن پارامتر
.B schemachecking
الزامی کرد. پیش‌فرض \fBoff\fP است.
بررسی اسکِمای \fBon\fP به این معنی است که مدخل‌های همگام‌سازی‌شده باید دارای یک objectClass ساختاری باشند، باید از الزامات objectClass از نظر مشخصه‌های لازم/مجاز پیروی کنند، و مشخصه‌های نام‌گذاری و مقادیر متمایز باید وجود داشته باشند.
در نتیجه، هنگامی که از همگام‌سازی جزئی (partial) استفاده می‌شود، بررسی اسکِما باید روی \fBoff\fP باشد.

پارامتر
.B network\-timeout
تعیین می‌کند که مصرف‌کننده چه مدت برای برقراری اتصال شبکه با فراهم‌کننده منتظر بماند. پس از برقراری اتصال، پارامتر
.B timeout
تعیین می‌کند که مصرف‌کننده چه مدت برای تکمیل درخواست Bind اولیه منتظر بماند. مقادیر پیش‌فرض برای این پارامترها از
.BR ldap.conf (5)
می‌آیند.
پارامتر
.BR tcp\-user\-timeout ،
در صورت غیرصفر بودن، با
.B TCP_USER_TIMEOUT
تنظیم‌شده روی اتصالات هدف مطابقت دارد و تنظیمات سیستم‌عامل را بازنویسی می‌کند. تنها برخی از سیستم‌ها از سفارشی‌سازی این پارامتر پشتیبانی می‌کنند، در غیر این صورت نادیده گرفته می‌شود و از تنظیمات سراسری سیستم استفاده خواهد شد.

یک
.B bindmethod
از نوع
.B simple
نیازمند گزینه‌های
.B binddn
و
.B credentials
است و تنها زمانی باید استفاده شود که سرویس‌های امنیتی مناسب (مانند TLS یا IPSEC) برقرار باشند.
.B به یاد داشته باشید: اعتبارنامه‌های simple bind باید به صورت متن واضح (cleartext) باشند!
یک
.B bindmethod
از نوع
.B sasl
نیازمند گزینه
.B saslmech
است. بسته به مکانیزم، هویت و/یا اعتبارنامه احراز هویت را می‌توان با استفاده از
.B authcid
و
.B credentials
مشخص کرد.
پارامتر
.B authzid
ممکن است برای تعیین یک هویت اعطای مجوز استفاده شود.
خصوصیات امنیتی خاص (همانند کلیدواژه
.B sasl\-secprops
در بالا) برای یک bind مربوط به SASL را می‌توان با گزینه
.B secprops
تنظیم کرد. یک قلمرو غیرپیش‌فرض SASL را می‌توان با گزینه
.B realm
تنظیم نمود.
هویت مورد استفاده برای همگام‌سازی توسط مصرف‌کننده باید مجاز به دریافت تعداد نامحدودی از مدخل‌ها در پاسخ به درخواست جستجو باشد.
فراهم‌کننده، علاوه بر اجازه دادن به احراز هویت هویت syncrepl، باید امتیازات دسترسی مناسب به داده‌های در حال همگام‌سازی (دستور \fBaccess\fP) و محدودیت‌های زمانی و اندازه مناسب را به آن هویت اعطا کند.
این کار را می‌توان یا با اجازه دادن به \fBsizelimit\fP و \fBtimelimit\fP نامحدود، یا با تنظیم یک عبارت \fBlimits\fP مناسب در پیکربندی مصرف‌کننده انجام داد (برای جزئیات به \fBsizelimit\fP و \fBlimits\fP مراجعه کنید).

پارامتر
.B keepalive
مقادیر \fIidle\fP، \fIprobes\fP و \fIinterval\fP مورد استفاده برای بررسی زنده بودن سوکت را تنظیم می‌کند؛
.I idle
تعداد ثانیه‌هایی است که یک اتصال باید بیکار بماند قبل از اینکه TCP شروع به ارسال پروب‌های keepalive کند؛
.I probes
حداکثر تعداد پروب‌های keepalive است که TCP باید قبل از قطع اتصال ارسال کند؛
.I interval
فاصله زمانی بر حسب ثانیه بین پروب‌های keepalive منفرد است.
تنها برخی از سیستم‌ها از سفارشی‌سازی این مقادیر پشتیبانی می‌کنند؛ در غیر این صورت پارامتر
.B keepalive
نادیده گرفته می‌شود و از تنظیمات سراسری سیستم استفاده می‌گردد.

پارامتر
.B starttls
استفاده از عملیات توسعه‌یافته StartTLS را برای برقراری یک نشست TLS قبل از Binding به فراهم‌کننده مشخص می‌کند. اگر آرگومان
.B critical
ارائه شود، در صورت شکست درخواست StartTLS، نشست لغو خواهد شد. در غیر این صورت نشست syncrepl بدون TLS ادامه می‌یابد. تنظیم
.B tls_reqcert
به‌طور پیش‌فرض "demand"، تنظیم
.B tls_reqsan
به‌طور پیش‌فرض "allow" است و سایر تنظیمات TLS به‌طور پیش‌فرض مشابه تنظیمات اصلی TLS در slapd هستند.

پارامتر
.B suffixmassage
به مصرف‌کننده اجازه می‌دهد مدخل‌ها را از یک دایرکتوری راه دور که پسوند DN آن با دایرکتوری محلی متفاوت است واکشی کند. بخشی از DN مدخل‌های راه دور که با \fIsearchbase\fP مطابقت دارد با DN مربوط به suffixmassage جایگزین خواهد شد.

به جای همگام‌سازی کل مدخل‌ها، مصرف‌کننده می‌تواند گزارش‌های تغییر داده‌ها را پرس‌وجو کند. این حالت عملیاتی به عنوان \fIdelta syncrepl\fP نامیده می‌شود. علاوه بر پارامترهای فوق، پارامترهای
.B logbase
و
.B logfilter
باید به درستی برای گزارشی که استفاده خواهد شد تنظیم شوند. پارامتر
.B syncdata
باید روی "accesslog" تنظیم شود اگر لاگ با فرمت لاگ
.BR slapo\-accesslog (5)
مطابقت دارد، یا "changelog" اگر لاگ با فرمت منسوخ‌شده \fIchangelog\fP مطابقت دارد. اگر پارامتر
.B syncdata
حذف شود یا روی "default" تنظیم شود، پارامترهای لاگ نادیده گرفته می‌شوند. اگر از \fBmultiprovider\fP استفاده می‌شود، پایگاه‌داده یکسان برای \fBlogbase\fP باید روی تمام فراهم‌کننده‌ها پیکربندی شود.

پارامتر
.B lazycommit
به پایگاه‌داده زیرین می‌گوید که می‌تواند تغییرات را بدون انجام تخلیه کامل (flush) پس از هر تغییر ذخیره کند. این ممکن است عملکرد مصرف‌کننده را بهبود بخشد، در حالی که ایمنی یا پایایی را فدا می‌کند.
.RE
.TP
.B updatedn <dn>
این گزینه فقط در یک پایگاه‌داده رونوشت (replica) قابل اعمال است.
این گزینه DN مجاز به به‌روزرسانی (مشروط به کنترل‌های دسترسی) رونوشت را مشخص می‌کند. این گزینه تنها در سناریوهای همگام‌سازی با حالت push مورد نیاز است. به‌طور کلی، این DN
.I نباید
همان
.B rootdn
مورد استفاده در فراهم‌کننده باشد.
.TP
.B updateref <url>
ارجاعی را برای بازگرداندن هنگامی که از
.BR slapd (8)
خواسته می‌شود تا یک پایگاه‌داده محلی رونوشت‌شده را تغییر دهد مشخص می‌کند.
اگر چندین مقدار مشخص شود، هر url ارائه می‌شود.

.SH "گزینه‌های خاص پایگاه‌داده (DATABASE-SPECIFIC OPTIONS)"
هر پایگاه‌داده ممکن است گزینه‌های پیکربندی خاصی را مجاز بداند؛ آن‌ها به‌طور جداگانه در صفحات راهنمای بک‌آندها مستند شده‌اند. برای مروری بر بک‌آندهای موجود به صفحه راهنمای
.BR slapd.backends (5)
مراجعه کنید.
.SH "مثال‌ها (EXAMPLES)"
.LP
در اینجا نمونه کوتاهی از یک فایل پیکربندی آورده شده است:
.LP
.RS
.nf
include   /etc/openldap/schema/core.schema
pidfile   /var/lib/openldap/run/slapd.pid

# Subtypes of "name" (e.g. "cn" and "ou") with the
# option ";x\-hidden" can be searched for/compared,
# but are not shown.  See \fBslapd.access\fP(5).
attributeoptions x\-hidden lang\-
access to attrs=name;x\-hidden by * =cs

# Protect passwords.  See \fBslapd.access\fP(5).
access    to attrs=userPassword  by * auth
# Read access to other attributes and entries.
access    to *  by * read

database  mdb
suffix    "dc=our\-domain,dc=com"
# The database directory MUST exist prior to
# running slapd AND should only be accessible
# by the slapd/tools. Mode 0700 recommended.
directory /var/lib/openldap/openldap\-data
# Indices to maintain
index     objectClass  eq
index     cn,sn,mail   pres,eq,approx,sub

# We serve small clients that do not handle referrals,
# so handle remote lookups on their behalf.
database  ldap
suffix    ""
uri       ldap://ldap.some\-server.com/
lastmod   off
.fi
.RE
.LP
راهنمای «OpenLDAP Administrator's Guide» شامل یک نمونه طولانی‌تر و همراه با یادداشت‌های توضیحی از یک فایل پیکربندی است.
فایل اصلی /etc/openldap/slapd.conf نمونه دیگری است.
.SH "فایل‌ها (FILES)"
.TP
/etc/openldap/slapd.conf
فایل پیکربندی پیش‌فرض slapd
.SH "همچنین ببینید (SEE ALSO)"
.BR ldap (3)،
.BR gnutls\-cli (1)،
.BR slapd\-config (5)،
.BR slapd.access (5)،
.BR slapd.backends (5)،
.BR slapd.overlays (5)،
.BR slapd.plugin (5)،
.BR slapd (8)،
.BR slapacl (8)،
.BR slapadd (8)،
.BR slapauth (8)،
.BR slapcat (8)،
.BR slapdn (8)،
.BR slapindex (8)،
.BR slapmodify (8)،
.BR slappasswd (8)،
.BR slaptest (8).
.LP
"OpenLDAP Administrator's Guide" (http://www.OpenLDAP.org/doc/admin)
.SH "قدردانی‌ها (ACKNOWLEDGEMENTS)"
.lf 1 "./../Project
.\" Shared Project Acknowledgement Text
.B "نرم‌افزار OpenLDAP"
توسط پروژه OpenLDAP در <http://www.openldap.org> توسعه یافته و نگهداری می‌شود.
.B "نرم‌افزار OpenLDAP"
از انتشار LDAP 3.3 دانشگاه میشیگان برگرفته شده است.
.lf 2173 "-