LDAP中文学习手册Word文档格式.docx
《LDAP中文学习手册Word文档格式.docx》由会员分享，可在线阅读，更多相关《LDAP中文学习手册Word文档格式.docx（19页珍藏版）》请在冰豆网上搜索。
在目录中添加一个Entry时，该Entry必须属于一个或多个objectclass,每一个objectclass规定了该Entry中必须要包含的属性，以及允许使用的属性。
Entry所属的类型由属性objectclass规定。
每一个Entry都有一个DN（distinguishedname）用于唯一的标志Entry在directory中的位置。
如下图所示：
根节点DN的命名有多种方法，其中之一就是域名命名法。
例如：
我们要以公司的网址作为公司目录树的根节点。
如那么根节点的DN应该为DN:
dc=sohu，dc=com
上图中根节点的DN：
dc=example,dc=com而该根节点有两个子节点，ou=people，和ou=servers。
People节点的DN：
ou=People,dc=example,dc=com
RDN:
是目录树中节点的相对分辨名。
如：
People节点的DN:
ou=People,dc=example,dc=com而该节点的RDN：
ou=People
Attribute:
每个Entry都是由许多Attribute组成的。
每一个属性（Attribute）描述的是对象的一个特征。
每一个属性（Attribute）由一个类型（type）和一个或多个值组成（Value）如下图所示：
2.LDAP命名模型（LDAPNamingModel）
LDAP命名模型定义了如何在目录系统中组织数据以及如何从目录系统中查找数据
LDAP命名模型指定将Entry按类似倒立的树形结构进行规划。
非常类似于UNIX系统得文件系统如下图所示：
UnixFileSystem
ADirectoryTree
LDAP目录结构与Unix系统的文件系统主要有三点不同
1.UNIX文件系统有一个根路径，作为访问所有文件和目录的入口。
而LDAP目录结构中的rootEntry只是一个特殊的Entry，它包含了目录服务器的配置信息，通常情况下，并不用来存储信息
2.在LDAP目录中任何一个节点都可以包含信息，同时也可以是一个容器，也就是说任何一个LDAPEntry都可以有子节点。
而UNIX文件系统中的节点要么是一个文件，要么是一个目录。
而不能同时是这两种情况。
只有目录才可以拥有子节点。
下图表示了LDAP是一个典型的目录结构
LDAPDirectory
3.UNIX文件系统目录结构与LDAP目录的第三个区别在于他们的每一个节点的命名不同。
LDAP目录中节点的命名和UNIX文件系统目录结构中的节点的命名是相反的。
上图示UNIX文件系统结构，如果要定位到grep节点的话，命名如下
/user/bin/grep
上图是一个典型的目录结构
第一个节点DN命名为：
dn:
dc=example,dc=com
第二个节点DN命名为：
第三个节点DN命名为：
uid=bjensen,ou=people,dc=example,dc=com
我们说每一个Entry的DN是唯一的，就是因为这种数形结构决定了，从根节点到其它任何一个节点的路径是唯一的。
RDN：
在DN中最左边的内容称为相对域名。
如ou=People,dc=example,dc=com
其RDN为ou=People
对于共享同一个父节点的所有节点的RDN必须是唯一的。
如果不属于同一个节点则节点的RDN可以相同。
特殊字符：
以下字符如果出现在Entry中的属性值，必须进行转义
#--------\#
，-------\，
+---------\+
“---------\”
\--------\\
<
-----\<
>
-----\>
;
--------\;
o=UnitedWidgets\,Ltd.,c=GB
别名
在LDAP中可以定义一个别名Entry，指向另外一个Entry。
如下图所示
如何创建别名Entry
要创建别名Entry，该Entry的objectclass必须是alias。
而且其属性aliasedObjectName的值必须是该Entry所指向的Entry的DN。
不过一般情况下应该避免使用别名Entry。
会影响性能。
而且如果被引用的Entry被删除的话，该Entry就会指向一个错误的结果。
LDAPURL
由于使用AliasEntry有许多缺点，可以使用LDAPURL或referral代替AliasEntry。
3.LDAP功能模型（LDAPFunctionalModel）
LDAP功能模型描述了LDAP协议可以采用的相关操作，来访问存储在目录树中的数据。
LDAP功能模型包含一系列的操作，这些操作被分为三组。
1.更新操作包括添加，删除，重命名，修改Entry
2.InterrogationOperation用于数据的查询
3.认证和控制（bindunbindabandon）
InterrogationOperation
1.TheLDAPSearchOperation
该操作需要八个参数
a.baseobject
也可以表示为DN。
表明你想要查询direcoty中树的顶点。
b.searchscope
DN与searchscope两个参数限定了要搜索数据的范围
共有三个范围scope
Sub搜索范围是包含顶节点在内的一棵子树如下图
其中DN=”ou=People,dc=example,dc=com”
Base搜索范围只包含一个节点如下图
Onelevel其搜索范围是DN所表示的节点下的直接子节点。
如下图
c.alias
d.sizelimit
表示返回的符合条件的Entry的数目，0表示返回所有符合条件的Entry。
目录服务器端返回一个LDAP_SIZELIMIT_EXCEEDED。
e.timelimit
表示搜索一次所需要的时间，超过时间将停止搜索。
服务器端返回一个LDAP_TIMELIMIT_EXCEEDED
f.attribute-only
该属性是一个boolean值，如果为true，表示服务器端之返回所搜索的Entry的属性名称，不返回属性值。
g.filter
通过该属性可以更精确的搜索结果。
就像SQL语句中的条件查询。
Filter分类
1.（sn=smith）匹配属性sn的值包含smith的Entry
2（sn=smith*）匹配属性sn的值以smith开始的所有Entry如smithers，smithsonain等。
其中“*”表示通配符，代表任意字符。
3（sn~=jensen）匹配属性sn的值听起来像jensen的Entry。
不同的目录服务器，有不同的实现方法。
4（age>
21）或者（!
（age<
=21））匹配属性age的值大于21的Entry
如果是字符的话，如（sn<
=Smith）则按字典顺序进行比较。
5（telephoneNumber=*）匹配所有属性telephoneNumber的值不为空的Entry
6（&
（sn=smith）（age>
21））匹配属性sn的值包含smith而且属性age的值大于21的Entry
（|（sn=smith）（age>
21））匹配属性sn的值包含smith或者属性age的值大于21的Entry
（&
（mail=*）（!
（telephoneNumber=*）））匹配属性mail的值不为空，而且属性telephoneNumber为空的Entry
7如果属性的值包含以下五个特殊字符的话必须进行转义
（cn=A*Star）则必须改为（cn=A\2AStar）
h.returnattributes
该属性表示客户的搜索结果中需要返回的和用户相关的属性列表，如果为空表示返回所有属性。
4.LDAP安全模型
安全模型的作用：
是提供一个框架，保护目录中的信息不被非法访问。
LDAP中的安全模型主要通过身份认证、安全通道和访问控制（ACL）来实现
LDAP是一个面向连接的协议，在能够对LDAP目录进行任何操作之前，LDAP客户端必须获得一个到LDAP服务端的一个连接，在这个过程中需要对LDAP客户端的身份进行验证，这一过程可以理解为用户绑定。
LDAPV2只支持简单的密码验证。
LDAPV3实现了SASL安全框架，SASL为多种验证协议提供了一种标准的验证方法，对于不同的验证系统，可以实现特定的SASL机制。
SASL机制代表了一种验证协议。
在用户通过验证之后，可以为该用户分配附加的权限，比如一些用户只能查看特定的Entry，而不能修改。
一些用户可以查看并且修改所有的Entry等。
这一过程可以理解为访问控制。
五、LDIF
LDIF通过一个文本文件，用来描述目录数据，可以将目录服务器中的数据导出到一个LDIF文件中，并且可以将LDIF文件中的数据导入到另一个目录服务器。
即使这两个目录服务器内部使用的是不同的数据库格式。
有两种类型的LDIF文件，第一种用来描述Directory目录数据的，第二种包含更新语句，用于更新现有的Directory条目数据。
第一种文件，内容包含两部分：
第一部分是DN，第二部分是一系列的属性-值对
如下图：
以上的LDIF文件只包含了一个DirectoryEntry。
可以在一个LDIF文件中包含多个Entry
第二种文件，包含更新语句。
第一行同样是DN。
第二行是更新类型，后边是要更新的属性及值。
当然也可以用来添加新的Entry。
添加一条Entry（注意第二行:
changetype：
add）
删除一条Entry
修改一条Entry
语法如下：
dnofentrytobemodified
changetype:
modify
modifytype:
attributetype
[attributetype:
attributevalue]
添加属性示例
删除属性示例
或者
修改属性值
也可以将多条更新语句放在一个文件里，各语句之间用“-”分开
重新命名Entry或移动Entry
语法：
dn:
Ｅｎｔｒｙ的ＤＮ名称
changetype:
moddn //changetype类型必须为ｍｏｄｄｎ
[newsuperior:
如果要移动一条Ｅｎｔｒｙ则该项表示一个新的节点的ＤＮ]
[deleteoldrdn:
（0|1）该项表示是否要删除修改以前的ＲＤＮ ０不删除]
[newrdn:
Ｅｎｔｒｙ的新ＲＤＮ]
由于一条Entry的DN是由该Entry的RDN和它的父节点的DN组成的。
一条Entry的RDN是该Entry中的一个属性。
就像关系数据库中，主键值可以唯一区
区分一条记录一样，在同一个节点下的所有Entry中的RDN必须由唯一标识该Entry
属性组成。
所以重新命名Entry，也就是重新命名该Entry的RDN。
示例如下：
执行以上语句后该Ｅｎｔｒｙ 如下所示：
uid=babsj,ou=People,dc=example,dc=com
uid:
babsj
bjensen
移动一条Ｅｎｔｒｙ示例如下：
六、LDAP模式（schema）
如果你使用过关系型数据库，那么对模式应该不会陌生。
关系数据库系统都是通过表格的形式进行数据存储的。
在这之前，我们首先要定义表结构，也即是模式。
表结构由一些字段组成，每个字段都有一个类型，以及一些约束条件。
这就规定了我们可以存储的信息。
上面我们介绍过LDAP目录服务器中存储的信息是被组织成树型结构进行存储的。
和存储信息之前也要定义模式，不过，与关系型数据库系统不同的是，作为LDAP目录服务器的用户而言，一般不需要自己定义模式，所有实现LDAP协议的目录服务器，都已经定义好了许多模式，这些模式可以解决我们大部分的信息存储的问题。
LDAP模式是由以下一些元素组成的
1：
Attributetypes属性类型，也就是属性名称。
我们已经介绍过，每个属性名称其实也代表着一种属性类型。
表示该属性可以存储什么样的信息。
2：
Attributesyntaxes属性语法，该元素表示每个属性名称所存储的信息如何组织。
3：
匹配规则，每一个属性都有匹配规则，用于数据的比较。
4：
objectclasses，对象类.上面已经介绍过，每个Entry都必须至少属于一个objectclass。
规定了该Entry可以存储那些属性。
下面介绍一下LDAP协议中定义的一些常用属性极其含义（具体信息看RFC2252文档）
属性
中文名称
描述
c
国家名称
值为两位国家代码
中国：
CN
美国：
US
cn
通用名称
dc
域名组件
dc=sohu,dc=com
co
国家的全名
gn
gavenName
homephone
家庭电话号码
mail
邮件地址
mobile
移动电话号码
o
组织名称
ou
部门名称
通常为组织机构下的
一个部门或者一个大
型实体下的一个子实
体
postalCode
邮政编码
sn
姓，别名
st
州或者省的名称
street
街道地址
userPassword
用户密码
uid
用户ID
departmentNumber
部门编号
displayName
显示名称
description
employeeNumber
员工编号
manager
经理
下面是一些LDAP协议中定义的objectclass（具体信息查看RFC2252文档）
Objectclass
必须属性
可选属性
account
userid
description$seeAlso$localityName$organizationName$organizationalUnitName$host
country
searchGuide$description
dcObject
device
serialNumber$seeAlso$owner$ou$o$l$description
inetOrgPerson->
person
继承person
audio$businessCategory$carLicense$departmentNumber$displayName$employeeNumber$employeeType$givenName$homePhone$homePostalAddress$initials$jpegPhoto$labeledURI$mail$manager$mobile$o$pager$photo$roomNumber$secretary$uid$userCertificate$x500uniqueIdentifier$preferredLanguage$userSMIMECertificate$userPKCS12
organizationalPerson
继承Person
title$x121Address$registeredAddress$destinationIndicator$preferredDeliveryMethod$telexNumber$teletexTerminalIdentifier$telephoneNumber$internationaliSDNNumber$facsimileTelephoneNumber$street$postOfficeBox$postalCode$postalAddress$physicalDeliveryOfficeName$ou$st$l
organization
userPassword$searchGuide$seeAlso$businessCategory$x121Address$registeredAddress$destinationIndicator$preferredDeliveryMethod$telexNumber$teletexTerminalIdentifier$telephoneNumber$internationaliSDNNumber$facsimileTelephoneNumber$street$postOfficeBox$postalCode$postalAddress$physicalDeliveryOfficeName$st$l$description
organizationalRole
x121Address$registeredAddress$destinationIndicator$preferredDeliveryMethod$telexNumber$teletexTerminalIdentifier$telephoneNumber$internationaliSDNNumber$facsimileTelephoneNumber$seeAlso$roleOccupant$preferredDeliveryMethod$street$postOfficeBox$postalCode$postalAddress$physicalDeliveryOfficeName$ou$st$l$description
organizationalUnit
cnsn
userPassword$telephoneNumber$seeAlso$description
Top（所有类的基类）
七、常用目录服务器
Apachedirectoryserver
Sundirectoryserver
openDS一个开源的，基于LDAP和DSML标准的Directoryservice。
Directoryservice不仅包括Directoryserver，还有其它与directory相关的基本service：
directoryproxy
、virtualdirctory、namespacedistribution和数据同步Directoryserver是一个可以通过网络访问，信息分级存储的数据库。
OpenDS只能用在linux操作系统。
该项目的地址为：
NetscapeDirectoryServer
WindowAD
八、Apachedirectoryserver安装与使用
下载ApacheDS地址为:
ApacheDS的安装比较简单，没有什么特殊的设置。
在ApacheDS安装完成后要启动ApacheDS服务。
路径如下：
控制面板---管理工具---服务--ApacheDirectoryserver
ApacheDS的监听端口默认为10389
安装Apachedirectorystudio。
下载地址同上。
该软件是ApacheDS的一个客户端工具。
用于连接ApacheDS，搜索，更新，删除，添加数据。
安装时也没有特别设置，请按默认设置安装该软件。
使用Apachedirectorystudio连接ApacheDS步骤如下：
第一步：
在菜单栏中选择LDAP菜单下的NewConnection选项
第二步：
在下面的对话框中输入相应的值。
第三步：
在一下对话框中输入要连接的根DN和密码。
在ApacheDS安装完成后，已经创建了几个DIT（目录信息树），第一次登录ApacheDS的话一般会连接如下输入的根节点的DN密码为：
secret。
当然可以在第一个选项框中选择NoAuthentication。
这是不需要输入下面的验证信息。
这种登录术语匿名登录。
权限受限制。
第四步。
连接完成后，如下图：
图中出现了apahceDS安装默认创建的三个目录信息树
第五步：
创建Partition。
ApacheDS中的目录信息是保存在Partition中的。
所以在创建新的目录树之前首先要创建Partition。
创建Partition的一个方法是修改server.xml配置文件。
该文件路径如下：
C:
\ProgramFiles\ApacheDirectoryServer\instances\default\conf\
在该文件中找到Partitions元素。
添加<
jdbmPartition>
元素。
第六步：
创建完成之后，重启Apachedirecoryserver服务。
在Apachedirectorystudio视图中看到结果如下，在右侧栏中我们可以看到我们刚刚
升级会员 