openldap 资料

LDAP概念和原理介绍

相信对于许多的朋友来说，可能听说过LDAP，但是实际中对LDAP的了解和具体的原理可能还比较模糊，今天就从“什么是LDAP”、“LDAP的主要产品”、“LDAP的基本模型”、“LDAP的使用案例”四个方面来做一个介绍。

我们在开始介绍之前先来看几个问题：

1. 我们日常的办公系统是不是有多个？

2. 每个系统之间是不是都有独立的账号密码？

3. 密码多了，有时候半天想不起来哪个密码对应哪个系统？

4. 每次新项目的开发，都需要重新开发和维护一套用户密码？

5. 维护多套系统的用户是不是非常头疼？

So，如今大家再也不用为上面的的问题头疼了，因为“LDAP统一认证服务”已经帮助大家解决这些问题了。那么相信大家对“LDAP统一认证服务”是干嘛的已经有一个大概的了解了吧？那我们开始今天要讲解的内容吧！

一、什么是LDAP？

（一）在介绍什么是LDAP之前，我们先来复习一个东西：“什么是目录服务？”

　　　　1. 目录服务是一个特殊的数据库，用来保存描述性的、基于属性的详细信息，支持过滤功能。

　　　　2. 是动态的，灵活的，易扩展的。

　　　　如：人员组织管理，电话簿，地址簿。

（二）了解完目录服务后，我们再来看看LDAP的介绍：

LDAP（Light Directory Access Portocol），它是基于X.500标准的轻量级目录访问协议。

目录是一个为查询、浏览和搜索而优化的数据库，它成树状结构组织数据，类似文件目录一样。

目录数据库和关系数据库不同，它有优异的读性能，但写性能差，并且没有事务处理、回滚等复杂功能，不适于存储修改频繁的数据。所以目录天生是用来查询的，就好象它的名字一样。

LDAP目录服务是由目录数据库和一套访问协议组成的系统。

（三）为什么要使用

LDAP是开放的Internet标准，支持跨平台的Internet协议，在业界中得到广泛认可的，并且市场上或者开源社区上的大多产品都加入了对LDAP的支持，因此对于这类系统，不需单独定制，只需要通过LDAP做简单的配置就可以与服务器做认证交互。“简单粗暴”，可以大大降低重复开发和对接的成本。

我们拿开源系统（YAPI）做案例，只需做一下简单的几步配置就可以达到LDAP的单点登录认证了：

{
"ldapLogin": {
      "enable": true,
      "server": "ldap://l-ldapt1.ops.dev.cn0.qunar.com",
      "baseDn": "CN=Admin,CN=Users,DC=test,DC=com",
      "bindPassword": "password123",
      "searchDn": "OU=UserContainer,DC=test,DC=com",
      "searchStandard": "mail"
   }
}

是不是很方便呢？

二、LDAP的主要产品

细心的朋友应该会主要到，LDAP的中文全称是：轻量级目录访问协议，说到底LDAP仅仅是一个访问协议，那么我们的数据究竟存储在哪里呢？

来，我们一起看下下面的表格：

厂商	产品	介绍
SUN	SUNONE Directory Server	基于文本数据库的存储，速度快 。
IBM	IBM Directory Server	基于DB2 的的数据库，速度一般。
Novell	Novell Directory Server	基于文本数据库的存储，速度快, 不常用到。
Microsoft	Microsoft Active Directory	基于WINDOWS系统用户，对大数据量处理速度一般，但维护容易，生态圈大，管理相对简单。
Opensource	Opensource	OpenLDAP 开源的项目，速度很快，但是非主 流应用。

没错，这就是正常存储数据的地方，而访问这些数据就是通过我们上述所说的LDAP。相信到这里大家应该了解两者之间的关系了吧！

三、LDAP的基本模型

每一个系统、协议都会有属于自己的模型，LDAP也不例外，在了解LDAP的基本模型之前我们需要先了解几个LDAP的目录树概念：

（一）目录树概念

1. 目录树：在一个目录服务系统中，整个目录信息集可以表示为一个目录信息树，树中的每个节点是一个条目。

2. 条目：每个条目就是一条记录，每个条目有自己的唯一可区别的名称（DN）。

3. 对象类：与某个实体类型对应的一组属性，对象类是可以继承的，这样父类的必须属性也会被继承下来。

4. 属性：描述条目的某个方面的信息，一个属性由一个属性类型和一个或多个属性值组成，属性有必须属性和非必须属性。

（二）DC、UID、OU、CN、SN、DN、RDN

关键字	英文全称	含义
dc	Domain Component	域名的部分，其格式是将完整的域名分成几部分，如域名为example.com变成dc=example,dc=com（一条记录的所属位置）
uid	User Id	用户ID songtao.xu（一条记录的ID）
ou	Organization Unit	组织单位，组织单位可以包含其他各种对象（包括其他组织单元），如“oa组”（一条记录的所属组织）
cn	Common Name	公共名称，如“Thomas Johansson”（一条记录的名称）
sn	Surname	姓，如“许”
dn	Distinguished Name	“uid=songtao.xu,ou=oa组,dc=example,dc=com”，一条记录的位置（唯一）
rdn	Relative dn	相对辨别名，类似于文件系统中的相对路径，它是与目录树结构无关的部分，如“uid=tom”或“cn= Thomas Johansson”

（三）基本模型：

信息模型：

　　命名模型：

　　

　　功能模型：

　　

　　安全模型：

　　

四、LDAP的使用

　　那我们是如何访问LDAP的数据库服务器呢？

　　

　　统一身份认证主要是改变原有的认证策略，使需要认证的软件都通过LDAP进行认证，在统一身份认证之后，用户的所有信息都存储在AD Server中。终端用户在需要使用公司内部服务的时候，都需要通过AD服务器的认证。

　　那么程序中是如何访问的呢？ 我们以PHP脚本作为例子：

$ldapconn = ldap_connect(“10.1.8.78")
$ldapbind = ldap_bind($ldapconn, 'username', $ldappass);
$searchRows= ldap_search($ldapconn, $basedn, "(cn=*)");
$searchResult = ldap_get_entries($ldapconn, $searchRows);
ldap_close($ldapconn);

1. 连接到LDAP服务器；

2. 绑定到LDAP服务器；

3. 在LDAP服务器上执行所需的任何操作；

4. 释放LDAP服务器的连接；

　　这章就只介绍LDAP的一些概念和基本的原理，代码的操作下一章再展开来讲错或讲的不好的地方，还望指教！~

 

ldap简要介绍

　　目录服务是一个特殊的数据库，它为读，浏览和搜索进行了优化。目录可以用来保存描述性的，基于属性的信息，并且支持复杂的过滤搜索能力。目录通常不支持在一般的数据库管理系统中支持的复杂的事务处理或者回滚机制——这些机制是为处理大容量的复杂更新操作而设计的。目录更新只是简单的“所有或者没有”的更新——如果它们被允许的话。目录被优化为针对大量的查找或者搜索操作进行快速的响应。它们可以具有大范围复制信息的功能，以便提高可用性和可靠性，同时缩短响应时间。

　　LDAP是轻量目录访问 协议，英文全称是Lightweight Directory Access Protocol， 一般都简称为LDAP。它是基于X.500标 准的，但是简单多了并且可以根据需要定制。与X.500不同，LDAP支持TCP/IP，这对访问Internet是必须的。LDAP的核心规范在RFC中都有定义，所有与LDAP相关的RFC都可以在LDAPman RFC网页中找到。
　　
　　LDAP是
一个用来发布目录信息到许多不同资源的协议。通常它都作为一个集中的地址本使用，不过根据组织者的需要，它可以做得更加强大。
　　1.2.
LDAP是电话簿
　　LDAP其
实是一电话簿，类似于我们所使用诸如NIS(Network Information Service)、DNS (Domain Name Service)等网络目录，也类似于你在花园中所看到的树木。
　　1.3. LDAP是不是数据库
　　不少LDAP开
发人员喜欢把LDAP与关系数据库相比，认为是另一种的存贮方式，然后在读性能上进行比较。实际
上，这种对比的基础是错误的。LDAP和关系数据库是两种不同层次的概念，后者是存贮方式（同一层
次如网格数据库，对象数据库），前者是存贮模式和访问协议。LDAP是一个比关系数据库抽象层次更
高的存贮概念，与关系数据库的查询语言SQL属同一级别。LDAP最
基本的形式是一个连接数据库的标准方式。该数据库为读查询作了优化。因此它可以很快地得到查询结果，不过在其它方面，例如更新，就慢得多。
　　从另一个意义上 LDAP是实现了指定的数
据结构的存贮，它是一种特殊的数据库。但是LDAP和一般的数据库不同，明白这一点是很重要的。 LDAP对查询进行了优化，与写性能相比LDAP的
读性能要优秀很多。
　　就象Sybase、Oracle、Informix或Microsoft的数据库管理系统（DBMS）是用于
处理查询和更新关系型数据库那样，LDAP服务器也是用来处理查询和更新LDAP目录的。换句话来说LDAP目录也是一种类型的
数据库，但不是关系型数据库。要特别注意的是，LDAP通常作为一个hierarchal数据库使用，而不是一个关系数据库。因此，它的结构用树来表示比用表格好。正因为这样，就
不能用SQL语句了。
　

ladp-　2. LDAP的特点

　　2.1. LDAP的优势
　　2.1.1 跨平台
　
　LDAP最大的优势是：可以在任何计算机平台上，用很容易获得的而且数目不断增加的LDAP的客户端程序访问LDAP目录。而且也很容易定
制应用程序为它加上LDAP的支持。
　
　LDAP协议是跨平台的和标准的协议，因此应用程序就不用为LDAP目录放在什么样的服务器上操心了。实际上，LDAP得
到了业界的广泛认可，因为它是Internet的标准。产商都很愿意在产品中加入对LDAP的支持，因为他们根本不用考虑另一端（客户端或服务端）是怎么样的。LDAP服务器可以是任何一个开发源代码或商用的LDAP目
录服务器（或者还可能是具有LDAP界面的关系型数据库），因为可以用同样的协议、客户端连接软件
包和查询命令与LDAP服务器进行交互。与LDAP不
同的是，如果软件产商想在软件产品中集成对DBMS的支持，那么通常都要对每一个数据库服务器单独
定制。
　　2.1.2 费用及维护
　　不象很多商用的关系型数据库，你不必为LDAP的
每一个客户端连接或许可协议付费。
　　大多数的LDAP服
务器安装起来很简单，也容易维护和优化。
　　2.1.3 复
制技术
　　LDAP服务器可以用"推"或"拉"的方法复制部分或全部数据，例如：可以把数据"推"到远程的办公室，以增加数据的安全性。复制技术是内置在LDAP服
务器中的而且很容易配置。如果要在DBMS中使用相同的复制功能，数据库产商就会要你支付额外的费
用，而且也很难管理。
　　2.1.4 允
许使用ACI
　　LDAP允许你根
据需要使用ACI（一般都称为ACL或者访
问控制列表）控制对数据读和写的权限。例如，设备管理员可以有权改变员工的工作地点和办公室号码，但是不允许改变记录中其它的域。ACI可以根据谁访问数据、访问什么数据、数据存在什么地方以及其它对数据进行访问控制。因为这些都是由LDAP目录服务器完成的，所以不用担心在客户端的应用程序上是否要进行安全检查。
　　2.2.
LDAP存储什么数据
　　LDAP对
于这样存储这样的信息最为有用：也就是数据需要从不同的地点读取，但是不需要经常更新。例如，这些信息存储在LDAP目
录中是十分有效的：
　　l 公司员
工的电话号码簿和组织结构图
　　l 客
户的联系信息
　　l 计算机管理需
要的信息，包括NIS映射、email假
名，等等
　　l 软件包的配置信息
　　l 公用证书和安全密匙
　　2.3. 什
么时候该用LDAP存储数据
　　大多数的LDAP服
务器都为读密集型的操作进行专门的优化。因此，当从LDAP服务器中读取数据的时候会比从专门为OLTP优化的关系型数据库中读取数据快一个数量级。也是因为专门为读的性能进行优化，大多数的LDAP目录服务器并不适合存储需要需要经常改变的数据。例如，用LDAP服
务器来存储电话号码是一个很好的选择，但是它不能作为电子商务站点的数据库服务器。
　　如
果下面每一个问题的答案都是"是"，那么把
数据存在LDAP中就是一个好主意。
　
　l 需要在任何平台上都能读取数据吗？
　
　l 每一个单独的记录项是不是每一天都只有很少的改变？
　
　l 可以把数据存在平面数据库（flat
database）而不是关系型数据库中吗？换句话来说，也就是不管什么范式不范式的，把所有东西都存在一个记录中（差不多只要满足第一范
式）。
　　最后一个问题可能会唬住一些人，其实用平面数据库去存储一些关系型的数据也是很
一般的。例如，一条公司员工的记录就可以包含经理的登录名。用LDAP来存储这类信息是很方便的。
一个简单的判断方法：如果可以把保数据存在一张张的卡片里，就可以很容易地把它存在LDAP目录
里。
　

ladp-　3. LDAP的基本模型

　　3.1 信息模型：描述LDAP的信息表示方式
　　在LDAP中
信息以树状方式组织，在树状信息中的基本数据单元是条目，而每个条目由属性构成，属性中存储有属性值；LDAP中
的信息模式，类似于面向对象的概念，在LDAP中每个条目必须属于某个或多个对象类（Object Class），每个Object Class由
多个属性类型组成，每个属性类型有所对应的语法和匹配规则；对象类和属性类型的定义均可以使用继承的概念。每个条目创建时，必须定义所属的对象类，必须提
供对象类中的必选属性类型的属性值，在LDAP中一个属性类型可以对应多个值。
　　在LDAP中把对象类、属性类型、语法和匹
配规则统称为Schema，在LDAP中有
许多系统对象类、属性类型、语法和匹配规则，这些系统Schema在LDAP标准中进行了规定，同时不同的应用领域也定义了自己的Schema，
同时用户在应用时，也可以根据需要自定义Schema。这有些类似于XML，除了XML标准中的XML定义外，每个行业都有自己标准的DTD或DOM定义，用户也可以自扩展；也如同XML，在LDAP中也鼓励用户尽量使用标准的Schema，以
增强信息的互联互通。
　　在Schema中
最难理解的是匹配规则，这是LDAP中为了加快查询的速度，针对不同的数据类型，可以提供不同的匹
配方法，如针对字符串类型的相等、模糊、大于小于均提供自己的匹配规则。
　　3.2 命名模型：描述LDAP中的数据如何组织
　　LDAP中
的命名模型，也即LDAP中的条目定位方式。在LDAP中
每个条目均有自己的DN和RDN。DN是该条目在整个树中的唯一名称标识，RDN是条目
在父节点下的唯一名称标识，如同文件系统中，带路径的文件名就是DN，文件名就是RDN。
　　3.3 功能模型：描述LDAP中的数据操作访问
　　在LDAP中
共有四类10种操作：查询类操作，如搜索、比较；更新类操作，如添加条目、删除条目、修改条目、修
改条目名；认证类操作，如绑定、解绑定；其它操作，如放弃和扩展操作。除了扩展操作，另外9种是LDAP的标准操作；扩展操作是LDAP中为了增加新
的功能，提供的一种标准的扩展框架，当前已经成为LDAP标准的扩展操作，有修改密码和StartTLS扩展，在新的RFC标准和草案中正在
增加一些新的扩展操作，不同的LDAP厂商也均定义了自己的扩展操作。
　　3.4 安
全模型：描述LDAP中的安全机制
　　LDAP中的安全模型主要通过身份认证、安全通道和访问控制来实现。
　
　3.4.1 身份认证
　　在LDAP中提供三种认证机制，即匿名、基
本认证和SASL（Simple
Authentication and Secure Layer）认证。匿名认证即不对用户进行认证，该方法仅对完全公开的方式适用；基
本认证均是通过用户名和密码进行身份识别，又分为简单密码和摘要密码认证；SASL认证即LDAP提供的在SSL和TLS安全通道基础上进行的身份认证，包括数字证书的认证。
　
　3.4.2 通讯安全
　　在LDAP中提供了基于SSL/TLS的通讯安全保障。SSL/TLS是基于PKI信息安全技术，是目前Internet上广泛采用的安全服务。LDAP通过StartTLS方式启动TLS服务，可以提供通讯中
的数据保密性、完整性保护；通过强制客户端证书认证的TLS服务，同时可以实现对客户端身份和服务
器端身份的双向验证。
　　3.4.3 访
问控制
　　虽然LDAP目前并无访
问控制的标准，但从一些草案中或是事实上LDAP产品的访问控制情况，我们不难看出：LDAP访问控制异常的灵活和丰富，在LDAP中是基于
访问控制策略语句来实现访问控制的，这不同于现有的关系型数据库系统和应用系统，它是通过基于访问控制列表来实现的，无论是基于组模式或角色模式，都摆脱
不了这种限制。
　　在使用关系型数据库系统开发应用时，往往是通过几个固定的数据库用户名
访问数据库。对于应用系统本身的访问控制，通常是需要建立专门的用户表，在应用系统内开发针对不同用户的访问控制授权代码，这样一旦访问控制策略变更时，
往往需要代码进行变更。总之一句话，关系型数据库的应用中用户数据管理和数据库访问标识是分离的，复杂的数据访问控制需要通过应用来实现。
　　而对于LDAP，用户数据管理和访问标识是
一体的，应用不需要关心访问控制的实现。这是由于在LDAP中的访问控制语句是基于策略语句来实现
的，无论是访问控制的数据对象，还是访问控制的主体对象，均是与这些对象在树中的位置和对象本身的数据特征相关。
　
　在LDAP中，可以把整个目录、目录的子树、制定条目、特定条目属性集或符合某过滤条件的条目作
为控制对象进行授权；可以把特定用户、属于特定组或所有目录用户作为授权主体进行授权；最后，还可以定义对特定位置（例如IP地址或DNS名称）的访问权。
　　

ladp-4. LDAP数
据结构

　　LDAP是实现了指定的数据结构的
存贮，它包括以下可以用关系数据库实现的结构要求：树状组织、条目认证、类型定义、许可树形记录拷贝。
　
　4.1 树
状组织
　
　无论是X500还是LDAP都是采用树状
方式进行记录。每一个树目录都有一个树根的入口条目，子记录全部是这一根条目的子孙。这是目录与关系数据类型最大的区别（关系数据库的应用结构也可实现树
状记录）。因此，把目录看作是更高级的树状数据库也未尝不可，只不过除此外，它不能实现关系存贮的重要功能。
　
　4.2 条
目和条目认证
　
　LDAP是以条目作为认证的根据。ROOT的
权限认证与目录本身无关，但除此外所有条目的认证权限由条目本身的密码进行认证。LDAP可以配置
成各种各样不同的父子条目权限继承方式。
　　每一个条目相当于一个单一的平面文本记录，由
条目自身或指定的条目认证进行访问控制。因此，LDAP定义的存贮结构等同于一批树状组织的平面数
据库，并提供相应的访问控制。
　　条目中的记录以名-值
对的形式存在，每一个名值对必须由数据样式schema预定义。因此，LDAP可以看作是以规定的值类型以名值对形式存贮在一系列以树状组织的平面数据库的记录的集合。
　　4.3 数
据样式（schema）
　　数据样式schema是
针对不同的应用，由用户指定（设计）类和属性类型预定义，条目中的类(objectclass)和
属性必须在在LDAP服务器启动时载入内存的schema已
有定义。因此，AD活动目录中的条目记录就必须符合Active
Directory的schema中。如果已提供的schema中的定义不够用，用户可以自行定义新的schema.
　
　在http://ldap.akbkhome.com/index.php中可以看到常用的schema。
　　4.4 对象类型(objectClass)
　　因为LDAP目
录可以定制成存储任何文本或二进制数据，到底存什么要由你自己决定。LDAP目录用对象类型（objectclass）的概念来定义运行哪一类的对象使用什么属性。在几乎所有的LDAP服务器中，你都要根据自己的需要扩展基本的LDAP目
录的功能，创建新的对象类型或者扩展现存的对象类型。
　　条目中的记录通过objectclass实现分类，objectClass是
一个继承性的类定义，每一个类定义指定必须具备的属性。如某一条目指定必须符合某个类型，则它必须具备超类所指定的属性。
　　通过objectclass分类，分散的条
目中的记录就实际上建立了一个索引结构，为高速的读查询打下了基础。Objectclass也是过
滤器的主要查询对象。
　　4.5 过滤器和语法
　　LDAP是一个查询为主的记录结构，无论是何种查询方式，最终都由过滤器缺点查询的条件。过滤器相当于SQL中的WHERE子句。任何LDAP的类过滤和字符串都必须放在括号内，如（objectclass=*）,指列出所有类型的记录（不过分类）。
　　可
以使用=，>=，<=，~=（约等于）进行比较，如(number<=100)。合并条件是最怪的，必须把操作符放在两个操作对象的前面而不是中间，单一操
作对象用括号括起来。如
　　l A与B，不是A&B，而是（&(A)(B)）。
　　l 或使用"|"表示；
　　l 非使用"！"表示。
　
　l 对于"与"，或"或"在
操作符后可以跟多个条件表达式，但非后则只参是单个表达式。
　　详见RFC1558。
　　4.6 树移植
　　LDAP最
重要的特性和要求并不是读性能，而是扩展性。这一特性是通过树移植和树复制实现的。按LDAP的RFC要求，LDAP目录应该可以任意地在不同的目录
间连接、合并并实现自动复制，及自动性同步。这意味着用户可以在任一LDAP中访问条目，而不用管
其中某一部分是否复制自全世界另一目录中的记录，同时另一目录中的记录同样在正常运作。
　
　这一特性如果在关系数据库中实现，意味着要使用程序化的非规范化预复制。类似于汇总账目的设计。
　
　4.7 LDIF交
换文件
　
　LDIF是LDAP约定的记录交换格式，
以平面文本的形式存在，是大部分LDAP内容交换的基础，如拷贝、添加、修改等操作，都是基于LDIF文件进行操作。
　　4.8 JAVA或CORBA对象串行化存储
　　网络高效率的访问加上JAVA的跨平台能力，当把JAVA或CORBA对象串行化后存储到LDAP目录上时，可以产
生非同一般的集成效果--实际上，这正是EJB和.NET的网络定位基础技术。
　　使用JAVA或CORBA对象存储时，必须首先让LDAP服务支持该对象定义，也就是说包含qmail.schema或corba.schema。
　　JAVA必须存储在objectclass=javacontainer的
条目中，而且必须带有cn属性，这意味着除非该JAVA类
专门实现了DirContext接口，对于大多数JAVA类
来说，只能采用DirContext代替Context实
现bind的添加操作。取出JAVA类相对
要简单得多，只需使用context.lookup()获得该对象的句柄，然后强制造型成所需要的
对象就可以了,如：
　　Person
p=(Person)contex.lookup("cn=elvis,dc=daifu,dc=com");
　　这个句法在EJB的程序中，是经常用到的。
　　使用CORBA的跨语言性质，使用CORBA存储对象比JAVA更加诱人，这意味着所存储的对象可以被任何语言编写的客户端访问。其实，微软的.net说到底也非常简单，无非是把COM对象存储到微
软自家的目录ActiveDirectory里面，从而可以在网络范围内使用任何微软平台的语言进
行对象访问而已。众所周知，COM就是与CORBA相
对的微软规范。
　　使用对象串行化技术，可以把常用对象如某个打印机，某个客户直接存储到LDAP中，然后快速获取该对象的引用，这样，就比把对象信息存储到关系数据库中，分别取出属性，然后再初始
化对象操作的做法，效率要高得多了。这是LDAP目前比普通关系数据库存储要优秀的地方，而对象数
据库还不成熟.

表一、LDAP常用的关键字：

关键字	英文全称	含义
dc	Domain Component	域名的部分，其格式是将完整的域名分成几部分，如域名为example.com变成dc=example,dc=com
uid	User Id	用户ID，如“tom”
ou	Organization Unit	组织单位，类似于Linux文件系统中的子目录，它是一个容器对象，组织单位可以包含其他各种对象（包括其他组织单元），如“market”
cn	Common Name	公共名称，如“Thomas Johansson”
sn	Surname	姓，如“Johansson”
dn	Distinguished Name	惟一辨别名，类似于Linux文件系统中的绝对路径，每个对象都有一个惟一的名称，如“uid= tom,ou=market,dc=example,dc=com”，在一个目录树中DN总是惟一的
rdn	Relative dn	相对辨别名，类似于文件系统中的相对路径，它是与目录树结构无关的部分，如“uid=tom”或“cn= Thomas Johansson”
c	Country	国家，如“CN”或“US”等。
o	Organization	组织名，如“Example, Inc.”

表一 LDAP常用的关键字列表