LDAP協(xié)議基礎(chǔ)概念

1、1從用途上闡述ldap,它是一個(gè)存儲(chǔ)靜態(tài)相關(guān)信息的服務(wù)，適合“一次記錄多 次讀取”。常用ldap服務(wù)存儲(chǔ)的信息：公司的物理設(shè)備信息（如打印機(jī)，它的ip地址、存放位置、廠商、購(gòu)買(mǎi) 時(shí)間等） 公開(kāi)的員工信息（地址、電話、電子郵件） 合同和賬號(hào)信息（客戶(hù)信息、產(chǎn)品交付h期、投標(biāo)信息、項(xiàng)口信息） 憑證信息（認(rèn)證憑證、許可證憑證）2. 從數(shù)據(jù)結(jié)構(gòu)上闡述ldap,它是一個(gè)樹(shù)型結(jié)構(gòu)，能有效明確的描述-個(gè)組織結(jié) 構(gòu)特性的相關(guān)信息。在這個(gè)樹(shù)型結(jié)構(gòu)上的每個(gè)節(jié)點(diǎn)，我們稱(chēng)之為“條目（entry）”，每個(gè)條目有自己的唯一可區(qū)別的名稱(chēng)（distinguished name , dn）。 條目的dn是由條目所在樹(shù)型結(jié)構(gòu)屮的

2、父節(jié)點(diǎn)位置（basedn）和該條目的某個(gè)可 用來(lái)區(qū)別身份的屬性（稱(chēng)之為rdn如uid , cn）組合而成。對(duì)full dn :“shineuserid二linly , ou二employee , de二jsoso , de二net” 而言，其屮 base dn： “ou二employee , dc=jsoso , de二net” , rdn： "shineuserid二linly"下 面是一個(gè)ldap服務(wù)器的數(shù)據(jù)結(jié)構(gòu)圖：3. 從協(xié)議衍化上闡述ldap,它是“目錄訪問(wèn)協(xié)議dapiso x. 500”的衍生, 簡(jiǎn)化了 dap |辦議，提供了輕量級(jí)的基于tcp/ip 議的網(wǎng)絡(luò)訪問(wèn)

3、，降低了管理維 護(hù)成本，但保持了強(qiáng)壯口易于擴(kuò)充的信息框架。ldap的應(yīng)用程序可以很輕松的 新增、修改、查詢(xún)和刪除口錄內(nèi)容信息。ldap 目錄條目(directory entry)簡(jiǎn)述從 object classes 談起在ldap b錄數(shù)據(jù)庫(kù)屮，所冇的條目都必須定義objectclass這個(gè)屈性。這冇點(diǎn) 像java語(yǔ)言里說(shuō)闡述的“一切皆對(duì)彖”的理念，每個(gè)條目(ldap entry)都要 定義自己的object classeso object class可以看作是ldap entry的模板，它 定義了條目的屬性集，包括必有屬性(requi ted attribute)和口j選屬性(option

4、attribute) o這里耍著重指出的是，在ldap的entry中是不能像關(guān)系數(shù)據(jù)庫(kù)的 表那樣隨意添加屈性字段的，一個(gè)entry的屈性是由它所繼承的所有object classes的屬性集合決定的，此外可以包押i ldap中規(guī)定的“操作屬性”(操作 屬性是一種獨(dú)立于object class而存在的屬性，它可以賦給口錄屮的任意條口)。 如果你想添加的屬性不在object classes定義屬性的范疇，也不是ldap規(guī)定的 操作屈性，那么是不能直接綁定(在ldap中，給entry賦予屈性的過(guò)程稱(chēng)為綁 定)到條目上的，你必須自定義一個(gè)含有你需要的屬性的object class,而后 將此類(lèi)型賦給條

5、目。object class是可以被繼承的，這使它看上去真的很像java語(yǔ)言屮的pojo對(duì) 象。繼承類(lèi)的對(duì)象實(shí)例也必須實(shí)現(xiàn)父類(lèi)規(guī)定的必有屈性(requited attribute),同時(shí)擁有父類(lèi)規(guī)定的可選屈性(option attribute)o繼承類(lèi)可以擴(kuò)展父類(lèi)的必冇屈性和可選屈性。由于object class的繼承特性，因此在一個(gè)ldap entry ±, objectclass屬性是一個(gè)多值屬 性，它涵蓋了 object class的完整繼承樹(shù)，如用戶(hù)條目uid=linly , ou二people, dc=jsoso , de二net,它直接實(shí)現(xiàn)了 inetorgperson這

6、個(gè)對(duì)象類(lèi)，那么它的 objectclass 屈性值為 inctorgpcrson, org3nizeitionalpcrson, person, top。從 object classes 到 directory server schema上一章節(jié)屮，我們了解了 ldap條口都要遵守的一個(gè)最重要的規(guī)定object classes,而實(shí)際上，對(duì)entry更多更細(xì)的規(guī)范被涵蓋在了 directory server schema (目錄服務(wù)模式)中。directory schema聲明了完整的ldap數(shù)據(jù)的存儲(chǔ) 規(guī)范，這包括數(shù)據(jù)的字節(jié)大小、數(shù)值范圍和格式定義。默認(rèn)的，在一個(gè)ldap服務(wù)器上，都定義有一

7、套標(biāo)準(zhǔn)的schema和一套為服務(wù)器功 能定制的schemao用戶(hù)在需要的時(shí)候,是可以定制自己的ldap屬性和object class,以擴(kuò)展標(biāo)準(zhǔn)schema的功能。在sun directory server中，使用了標(biāo)準(zhǔn) ldapv3 schema,并在此基礎(chǔ)上做了輕微的擴(kuò)展。在schema中的標(biāo)準(zhǔn)屬性(standard attributes)是一個(gè)鍵-值對(duì)，如：cn： linly , 屬性id (屬性名)為cn,屬性值為linly o事實(shí)上，一個(gè)完整的條口就是由一 系列的鍵-值對(duì)組成的。以下是一個(gè)完整的ldap entry：引用dn: uid=linly, ou二people, dc=jso

8、so,dc=net telephonenumber:ail: linliangyi2005gmai1. comobjectclass:topobjee tcleiss:personobjectclass:organizationalpersonobjectclass:inetorgpersoncn: linliangyiuscrpassword: ssiiaaptgp47lczivgqjpbi8343fwkcl3qgqq9kirxw= creatorsname:uid=admin, ou二administrators, ou=topologymanagement, o

9、=netscaperoot createtimestamp: 20080219070003znsuniquetd: 2deb0d01-deb81ldc-8055dc88-5f880db9nsrolcdn: cn二myadminrole, ou二people，de二jsoso, dc=net nsroledn: cn二secondrole, ou二people, de二jsoso, dc=net cn;phonetic;lang-zh: ia二二 preferredlanguage: zhcn cn;lang-zh: 5p6x6tmv55uktca=g i vcnnamc: 1 i eingy

10、igivenname;lang-zh: 61mv55uksn: linsn;lang-zh: 5p6xuid: 1 inlymanager: costcmplatcforpostalcodcmodifiersname:uid=admin, ou二administrators, ou=topologymanagement, o=netscaperoot modi fytimestamp: 20080227083015z在schema屮，對(duì)屈性的定義包含以下內(nèi)容： 一個(gè)唯一的屬性名稱(chēng) 一個(gè)屬性的 oid (object identifier) 一段屬性的文本描述信息 一個(gè)關(guān)聯(lián)屈性文法定義的0id

11、屬性的單值/多值描述；屬性是否是目錄口有的；屬性的由來(lái)；附加的一 些匹配規(guī)則此外schema中最重要的部分就是我們上面提到的object classes,它實(shí)際上是 預(yù)定義的一套捆綁成套的屈性集合。在schema定義屮，object classes耍包含 以下內(nèi)容： 一個(gè)唯一的名字 個(gè) object identifier (otd)定義 object class 一個(gè)必有的屈性集合 一個(gè)可選的屈性集合高級(jí)ldap條目在口錄服務(wù)小，信息是以條口的形式被分層次的組織在-起的。ldap提供了幾 種分組機(jī)制，使得信息管理更富有彈性。靜態(tài)組和動(dòng)態(tài)組(static group and dynamic gr

12、oup)組(group),聲明一個(gè)口錄條口的集合靜態(tài)組(static group):顯式聲明了一個(gè)它的集合成員，這種方式適用于少量 明確的成員組合。動(dòng)態(tài)組(dynamic group):它定義了一個(gè)過(guò)濾條件，所冇匹配條件的條目都是 組的成員。所以稱(chēng)之為動(dòng)態(tài)組，是因?yàn)槊看巫x取其組員名單時(shí)，要?jiǎng)討B(tài)計(jì)算過(guò)濾 條件。吏用組的優(yōu)點(diǎn)是能夠快速的查找所屬的成員；缺點(diǎn)是，給出任意的成員，無(wú)法獲 知它所屈的組。因此從數(shù)據(jù)關(guān)聯(lián)關(guān)系上看，group適合一對(duì)多的杳詢(xún)。受管角色、過(guò)濾器角色和嵌套角色(managed role、filtered role and nested role)角色(role),它是條目的另一種

13、集合形式。它與組不同的在于，給定一個(gè)任意 的成員條目，我們能立刻獲知它所屈的角色。因此從數(shù)據(jù)關(guān)聯(lián)關(guān)系上看，role 適合多對(duì)一的查詢(xún)。角色定義僅對(duì)它們的父節(jié)點(diǎn)子樹(shù)下而的目錄條目?jī)有?。受管角?managed role),它等價(jià)于group中的靜態(tài)組，不同的是，role不 是把組員信息添加到自身屬性屮，而是將自身的dn添加到組員條口的nsroledn 屬性中。過(guò)濾器角色(f訂tered role),它與動(dòng)態(tài)組相似，通過(guò)定義條目過(guò)濾器來(lái)確定 組員。嵌套角色(nested role),它是對(duì)角色定義的一種嵌套形式?？梢郧短灼渌?嵌套角色的。嵌套角色的成員，是其包含的所有角色成員的合集。嵌套角色通過(guò)

14、 包含從屬于其它子樹(shù)下的角色，可以擴(kuò)展其搜索的scopeo月艮務(wù)類(lèi)cos服務(wù)類(lèi)實(shí)際上是一種屬性的共享機(jī)制，它無(wú)須定義條目間的關(guān)聯(lián)關(guān)系，卻可以做 到數(shù)據(jù)同步和空間優(yōu)化。例如，在一個(gè)公司口錄下，擁有上千個(gè)員工，他們擁有 相同的公司地址屬性；在傳統(tǒng)的條目中，地址屬性分別存貯在員工條目里，這樣 不但浪費(fèi)存儲(chǔ)空間，一旦地址變更，則要對(duì)員工條目進(jìn)行逐一修改。采用cos 機(jī)制后，公司地址屈性被存放在一個(gè)對(duì)彖內(nèi)，員工條目通過(guò)引用這個(gè)對(duì)彖來(lái)獲得 地址信息，從而縮小的存儲(chǔ)空間損耗，并方便了信息的修改。cos僅對(duì)其父節(jié)點(diǎn)子樹(shù)下面的口錄條口有效。cos機(jī)制包含兩個(gè)部分，cos定義 條目和cos模板條目。定義條目描述了

15、屬性是如何被引用的；模板條目描述了屬 性的值。cos機(jī)制包含3種類(lèi)型：指針?lè)?wù)類(lèi)(pointer cos),在pointer cos中，cos包含一個(gè)定義definition entry,它指定了兩個(gè)屬性:1. 共享屬性的名稱(chēng)；2.提供共享數(shù)據(jù)的模板dno另外cos還要有一個(gè)template entry,它要提供共享的數(shù)據(jù)。在定義了 definition entry 和 template entry ju , pointer cos 將為其父節(jié)點(diǎn) 子樹(shù)下而的所冇條目(目標(biāo)條目target entry)分配共享屈性和模板所定義的 值。示意圖如下：target entrydef in iti on

16、 en try： cn 二 poin ter cos , de 二 example , de 二"com 定義了 cos 的 共享屬性 cosattribute： postalcode,同時(shí)定義了 cos 的模板 dn costemplatedn： cn=costcmplatcforpostalcodc, cn=dataotemplate entry:"它是 cos 的模板，定義了共享屬性值 postalcode： 45773。 target entry：它是目標(biāo)條目,因?yàn)樗挥赿c=example de二com的子樹(shù)下。所以它獲得了共享屬性postalcode： 4577

17、3。間接服務(wù)類(lèi)(indirect cos),在使用間接服務(wù)類(lèi)時(shí)，在definition entry條目屮定義了 cos的共享屈性 cosattribut和一個(gè)用來(lái)間接指向模板的屬性cosindirectspecifiero 首先,我們需要用cosindirectspecifier的值a作為屬性名,來(lái)檢索cos父節(jié) 點(diǎn)子樹(shù)中所有擁有a屬性的條目，作為目標(biāo)條目target entry。其次，根據(jù)找到的target entry條目中a屈性的值來(lái)定位模板對(duì)象。最后，再分別根據(jù)找到的模板對(duì)彖屮擁冇的共享屈性值賦給對(duì)應(yīng)的target entryo例如，定義如下definition entry引用dn: c

18、n二gencratcdeptmum, ou=pcoplc, dc=examplc, dc=comobjectclass: topobjectclass: ldapsubentryobjectclass: cossuperdefinitionobjectclass: costndirectdefinitioncoslndircctspccificr: memagcrcosattribute: departmentnumber該 cos 定義對(duì)條口 ou二people, de二example, de二com 下的子樹(shù)屮所有具manager 屬性的條目有效，同時(shí)設(shè)定其cos模板指向manager屬性

19、的值所指向的條目。 又假定有如卜的template entry條目，它具有屈性dcpartmcntnumbcr： 引用dn: cn=carla fuentes, ou=people, dc=example, dc=comobjcctclass: costcmplatc departmentnumber: 318842同時(shí)在 ou二people, de二example, dc=com 下冇 target entry 女口下： 引用dn: cn=babs jensen,ou=people, de二example, dc=comcn: babs jensen manager: cn二carla fu

20、entes,ou二people, de二example, dc=com departmentnumber: 318842因?yàn)樵?entry 具有 manager 屬性,且在 ou二people, de二example, dc=com 子樹(shù)下， 所以它成為了 target entityo并且由于其manager的值指向模板cn二carla fuentes, ou二people, de二example, de二com, 因止匕， 它的 departmentnumber 為 318842o經(jīng)典服務(wù)類(lèi)(classic cos)經(jīng)典服務(wù)類(lèi)同間接服務(wù)類(lèi)有點(diǎn)相似，它也是對(duì)屬性的間接應(yīng)用。在classic c

21、os 的定義條目中,除了共享屬性定義外,還有兩個(gè)定義,個(gè)是costemplatedn, 它指向模板條目的父節(jié)點(diǎn)；另一個(gè)是cosspecificr,它的值指向目標(biāo)條目的屈 性a。由目標(biāo)條目的屈性a的值來(lái)代替模板條目的rnd。則目標(biāo)條目的屈性a的 值加上costemplatedn的值恰好定義一個(gè)唯一的模板條目。舉例如下，首先是-個(gè)經(jīng)典服務(wù)類(lèi)的定義條口：引用dn: cn二classiccos，dc=cxamplc, de二comobjectclass: topobjectclass: ldapsubentryobjectclass: cossuperdefinitionobjectclass: co

22、sclassicdefinitioncostcmplatcdn: ou二people，dc=cxamplc, dc=com cosspecifier: buildingcosattribute: postaladdress該定義條目指明了 3個(gè)參數(shù)，1要共享的屈性是postaladdress2. 模板條目的上下文前綴是ou二people, dc=example, dc=com3. 模板條目的rdn存儲(chǔ)于目標(biāo)條目的bu訂ding屬性中 其次，假定有如下模板條口：引用dn: cn二b07, ou=pcoplc, dc=examplc, dc=comobjectclass: topobjectcla

23、ss: ldapsubentryobjectclass: extensibleobjectobjcctclass: costcmplatcpostaladdres: 7 old oak street$anytown, ca 95054最后，我們假設(shè)有以下口標(biāo)條口：引用dn: cn二babs jcnscn，ou二people，dc=cxamplc, de二comcn: babs jensen building: b07postaladdres: 7 old oak street$anytown, ca 95054由于目標(biāo)條目屮，building屈性的值是b07,因此該條目的模板定義dn = b0

24、7 力【上 ou=people, dc=example, de二com , 即cn二b07, ou二people, de二example, de二com,因此目標(biāo)條目的 postaladdres 引用模 板的值 7 old oak street$anytown, ca 95054。ldap目錄搜索ldap搜索是目錄服務(wù)最常用的功能之一。在ldap服務(wù)中搜索要用到相應(yīng)的 filter語(yǔ)句。filter語(yǔ)句由3個(gè)部分組成：1. 屬性，女i： cn , uid ,操作屬性如:objectclass , nsroledn2. 比較操作符，如，,= ,3. 邏輯預(yù)算符，如：與操作& ,或操作i

25、,非操作！關(guān)于filter語(yǔ)句組成的詳細(xì)參數(shù)表如下：filter的運(yùn)算符返回所含屬性値與指定的值 完全匹配的條目.例如子字符串卩-string* string 卩cn=bob johnson a返回所含尿性中包含指定子字符串的條目.例如：卩cn=bob* “cn="johnson 卩 cn=ajohn* 卩 cn=b*john 卜（星號(hào)c）指示o個(gè)或更 多字符）2大于等于2>=4返回所含屬性大于或等于損 定值的條目.例如：4 buildingname >= alpha a小于等于&<=p返回所含屬性小于或等于*目 定值的條目.例如：a buildingnam

26、e <- alpha 2存在4或多個(gè)值的條目.例如：返回包含所指定屬性的一個(gè)cnj卩telephonenumber=a manager返回的條目中所含的扌靛屬性的值近似等于捜索過(guò)痣器中指定的值.例如：卩cn=suret 亠 l=san fransico。 將返回cn=sargtte l=sanfrancisco »filter布爾運(yùn)算符運(yùn)算符符號(hào)心說(shuō)明pand卩&卩所有指定的過(guò)濾器都必須為 真時(shí)，該語(yǔ)句才為真.例如：(&£filter)(filter)(filter).) por a1 "至少指定的一個(gè)過(guò)淹器為真 時(shí)，該逶句冃卩為真.例如：p

27、(ufilter)(filter)(f51ter).) fnot p!亠扌旨定的語(yǔ)句必須非真時(shí)，該語(yǔ)句才為真只有一個(gè)過(guò)濾器受 not運(yùn)算符的影響例如：(! (filter) a搜索過(guò)濾器示例下列過(guò)濾器將搜索包含一個(gè)或多個(gè)manager屬性值的條目。這也稱(chēng)為存 在搜索：manager*下列過(guò)濾器將搜索包含通用名ray kul tgen的條目。這也稱(chēng)為等價(jià)搜索: cn二ray kultgen下列過(guò)濾器返回所有不包含通用名ray kultgcn的條口： (! (cn=ray kultgen)下列過(guò)濾器返回的所有條目中都有包含了字符串x. 500的說(shuō)明屬性： description=*x. 500*下

28、列過(guò)濾器返冋所有組織單元為marketing且說(shuō)明字段中不包含子字符 串 x. 500 的條目:(&(ou=marketing) (! (description=*x. 500*)下列過(guò)濾器返回所有組織單元為marketing且manager為julie fulmer 或 cindy zwaska 的條目：(&(ou=marketing) (| (manager二cn二jill iefulmer, ou=marketing, dc=siroe, dc=com) (meinager二cn二cindyzwaska, ou=markcting, dc=siroe, dc=com)下列

29、過(guò)濾器返回所有不代表人員的條目：(! (objectclass=person)下列過(guò)濾器返回所有不代表人員且通用名近似于printer3b的條目： (&(! (objectclass=person)(cn=prinier3b)1 dapsearch指令參數(shù)-b搜索的起始上下文 d綁定搜索的賬號(hào)distinguished name -h +機(jī)名。地址 -p ldap服務(wù)端口 -1搜索的最大耗時(shí) -s從上下文開(kāi)始的搜索范圍，有三個(gè)常量base（表示僅當(dāng)而根對(duì)象）/onc（當(dāng)前根對(duì)彖及下一級(jí)）/sub （當(dāng)前根對(duì)彖的全部子樹(shù)） -w綁定賬號(hào)密碼 -z返回結(jié)果的最大數(shù)量搜索“操作屬性”在lda

30、p搜索中，操作屬性在默認(rèn)情況下是不會(huì)跟隨搜索結(jié)果返冋的。必須在搜 索中明確顯示的指定操作屬性，如：引用ldapsearch -h linly. 一p 5201 -d ，zcn=dircctory manager" -w password "objectclass=* aci二accounts。搜索“操作對(duì)象類(lèi)”的條目在ldap小role、cos等對(duì)彖被定義為特殊的object class操作對(duì)彖類(lèi) （operational object class）,在一般的搜索屮，這類(lèi)對(duì)象是不會(huì)作為結(jié)果返 回給用戶(hù)的。要想查找這些對(duì)象，必須在filter中顯式定義要找這個(gè)對(duì)象類(lèi)。 例如：

31、（objectciass=ldapsubentry）。aci權(quán)限控制ac i （access control instruction）訪問(wèn)控制指令是ldap服務(wù)中用以控制用 戶(hù)訪問(wèn)權(quán)限的有力手段。在目錄的entry中，aci屬性記錄了對(duì)該條目的多條訪 問(wèn)控制指令。（aci屬性是一個(gè)多值操作屬性，可以賦予任意的ldap條目） aci 的語(yǔ)法格式如下：aci: （target） （version 3. 0;acl ，namc，;permission bindrules;）” target指定了 aci要控制訪問(wèn)的目標(biāo)屬性（集合）或條目（集合）。target 可以用d7, 個(gè)或多個(gè)屬性，或者一個(gè)fi

32、lter來(lái)定義。它是一個(gè)可選項(xiàng)。target語(yǔ)法是：關(guān)鍵字op表達(dá)式target關(guān)鍵字表關(guān)鍵字表達(dá)式能否便用*通配符targetldap：/distingu ished. n am是targetattr<nattribute是“targetfilter<ldapjllter是廠targattrfilters<,ldapoperqtion：ldapjilter是（更多詳細(xì)的 target 用法，請(qǐng)參閱 sun one directory server 5. 2 administration guide ）version 3.0這是一個(gè)必須的常量字竄，用以識(shí)別aci的版本。nam

33、e指定aci的名稱(chēng)，可以使任意的字竄，只要區(qū)別于同一個(gè)條目aci屬性下 的其他aci,這是一個(gè)必須屬性。permission指定權(quán)限許可。權(quán)限包括： read> write、 add> delete、 search> compare> selfwrite、 proxy 或all,其中all表示出了 proxy之外的所有操作。權(quán)限語(yǔ)法：allow | deny （權(quán)限）bind_rules綁定規(guī)則。綁定規(guī)則定義了何人、何時(shí)，以及從何處可以訪問(wèn)目錄。 綁定孤則可以是如下規(guī)則之一： 被授予訪問(wèn)權(quán)限的用戶(hù)、組以及角色 實(shí)體必須從中綁定的位置 綁定必須發(fā)生的時(shí)間或口期 綁定期間必

34、須使用的驗(yàn)證類(lèi)型 綁定規(guī)則語(yǔ)法：keyword =或者！二"expressiort;（注：timeofday關(guān)鍵字 也支持不等式、<=> >、>=）oldif綁定規(guī)則關(guān)鍵字表1關(guān)腱字表達(dá)式能否使用*通配符userdn1hap：/distinguished jiame map：/alkmap：/合nyonzbap：/seif-hap：/parenu/suffix?sub?(filter)*:,是，只能在dn中qgroupdnldap：/£w | ldap:/dna否aroledn<nldap：/d/v | ldap：/d否quserattn1attribute#bindtype 或心 attribute#vaiue<否卩ipqip.address，是3dnsqdns.host.nama是qdayofweefe1sun mon “ tue. wed， thua firia sat*3否qtimeofday0-2359-否authmethodp無(wú)卩 simple ssk sasl authentication method否卩(更多詳細(xì)的綁定規(guī)則用法，請(qǐng)參閱sun one directory server 5.