LDAP认证模式简介

　　今天发现公共服务中有ldap数据库服务，先大概了解一下ldap，转载下面的文章。原文连接：https://www.jianshu.com/p/d3f8c8f5d661

       另外记录一篇文章地址：https://blog.csdn.net/qq_19936739/article/details/78331945

 

      

1. 目录服务

　　目录是一个为查询、浏览和搜索而优化的专业分布式数据库，它呈树状结构组织数据，就好像Linux/Unix系统中的文件目录同样
　　目录数据库和关系数据库不一样，它有优异的读性能，但写性能差，而且没有事务处理、回滚等复杂功能，不适于存储修改频繁的数据。因此目录天生是用来查询的，就好象它的名字同样。

　　目录服务是由目录数据库和一套访问协议组成的系统。相似如下的信息适合储存在目录中：

• • 　　企业员工信息，如姓名、电话、邮箱等；
  • 　　公用证书和安全密钥；
  • 　　公司的物理设备信息，如服务器，它的IP地址、存放位置、厂商、购买时间等；

　　LDAP是轻量目录访问协议(Lightweight Directory Access Protocol)的缩写，LDAP是从X.500目录访问协议的基础上发展过来的，目前的版本是v3.0。与LDAP同样提供相似的目录服务软件还有ApacheDS、Active Directory、Red Hat Directory Service 。

2. LDAP特色

• • 　　结构用树来表示，而不是表格
           正由于这样，就不能用SQL语句了
  • 　　能够很快地获得查询结果
    　　不过在写方面，就慢得多
  • 　　提供了静态数据的快速查询方式
  •  　  Client/server模型
           Server 用于存储数据，Client提供操做目录信息树的工具
  • 　　这些工具能够将数据库的内容以文本格式（LDAP 数据交换格式，LDIF）呈如今您的面前
  • 　　一种开放Internet标准
          LDAP协议是跨平台的Interent协议

3. LDAP组织数据的方式

4. 基本概念

4.1 Entry

　　条目，也叫记录项，是LDAP中最基本的颗粒，就像字典中的词条，或者是数据库中的记录。一般对LDAP的添加、删除、更改、检索都是以条目为基本对象的。
　　dn：每个条目都有一个惟一的标识名（distinguished Name ，DN），如上图中一个 dn："cn=baby,ou=marketing,ou=people,dc=mydomain,dc=org" 。经过DN的层次型语法结构，能够方便地表示出条目在LDAP树中的位置，一般用于检索。
　　rdn：通常指dn逗号最左边的部分，如cn=baby。它与RootDN不一样，RootDN一般与RootPW同时出现，特指管理LDAP中信息的最高权限用户。
　　Base DN：LDAP目录树的最顶部就是根，也就是所谓的“Base DN"，如"dc=mydomain,dc=org"。

4.2 Attribute

　　每一个条目均可以有不少属性（Attribute），好比常见的人都有姓名、地址、电话等属性。每一个属性都有名称及对应的值，属性值能够有单个、多个，好比你有多个邮箱。

　　属性不是随便定义的，须要符合必定的规则，而这个规则能够经过schema制定。好比，若是一个entry没有包含在 inetorgperson 这个 schema 中的objectClass: inetOrgPerson，那么就不能为它指定employeeNumber属性，由于employeeNumber是在inetOrgPerson中定义的。

　　LDAP为人员组织机构中常见的对象都设计了属性(好比commonName，surname)

属性	别名	语法	描述	值(举例)
commonName	cn	Directory String	姓名	sean
surname	sn	Directory String	姓	Chow
organizationalUnitName	ou	Directory String	单位（部门）名称	IT_SECTION
organization	o	Directory String	组织（公司）名称	example
telephoneNumber		Telephone Number	电话号码	110
objectClass			内置属性	organizationalPerson

4.3 ObjectClass

　　对象类是属性的集合，LDAP预想了不少人员组织机构中常见的对象，并将其封装成对象类。好比人员（person）含有姓（sn）、名（cn）、电话(telephoneNumber)、密码(userPassword)等属性，单位职工(organizationalPerson)是人员(person)的继承类，除了上述属性以外还含有职务（title）、邮政编码（postalCode）、通讯地址(postalAddress)等属性。

　　经过对象类能够方便的定义条目类型。每一个条目能够直接继承多个对象类，这样就继承了各类属性。若是2个对象类中有相同的属性，则条目继承后只会保留1个属性。对象类同时也规定了哪些属性是基本信息，必须含有(Must 活Required，必要属性)：哪些属性是扩展信息，能够含有（May或Optional，可选属性）。

　　对象类有三种类型：结构类型（Structural）、抽象类型(Abstract)和辅助类型（Auxiliary）。结构类型是最基本的类型，它规定了对象实体的基本属性，每一个条目属于且仅属于一个结构型对象类。抽象类型能够是结构类型或其余抽象类型父类，它将对象属性中共性的部分组织在一块儿，称为其余类的模板，条目不能直接集成抽象型对象类。辅助类型规定了对象实体的扩展属性。每一个条目至少有一个结构性对象类。

　　对象类自己是能够相互继承的，因此对象类的根类是top抽象型对象类。以经常使用的人员类型为例，他们的继承关系：

　　下面是inetOrgPerson对象类的在schema中的定义，能够清楚的看到它的父类SUB和可选属性MAY、必要属性MUST(继承自organizationalPerson)，关于各属性的语法则在schema中的attributetype定义。

# inetOrgPerson
# The inetOrgPerson represents people who are associated with an
# organization in some way.  It is a structural class and is derived
# from the organizationalPerson which is defined in X.521 [X521].
objectclass     ( 2.16.840.1.113730.3.2.2
    NAME 'inetOrgPerson'
        DESC 'RFC2798: Internet Organizational Person'
    SUP organizationalPerson
    STRUCTURAL
        MAY (
                audio $ businessCategory $ carLicense $ departmentNumber $
                displayName $ employeeNumber $ employeeType $ givenName $
                homePhone $ homePostalAddress $ initials $ jpegPhoto $
                labeledURI $ mail $ manager $ mobile $ o $ pager $
                photo $ roomNumber $ secretary $ uid $ userCertificate $
                x500uniqueIdentifier $ preferredLanguage $
                userSMIMECertificate $ userPKCS12 )
        )

4.4 Schema

　　对象类（ObjectClass）、属性类型（AttributeType）、语法（Syntax）分别约定了条目、属性、值，他们之间的关系以下图所示。因此这些构成了模式(Schema)——对象类的集合。条目数据在导入时一般须要接受模式检查，它确保了目录中全部的条目数据结构都是一致的。　　

　　schema（通常在/etc/ldap/schema/目录）在导入时要注意先后顺序。

4.5 backend & database

　　ldap的后台进程slapd接收、响应请求，但实际存储数据、获取数据的操做是由Backends作的，而数据是存放在database中，因此你能够看到每每你能够看到backend和database指令是同样的值如 bdb 。一个 backend 能够有多个 database instance，但每一个 database 的 suffix 和 rootdn 不同。openldap 2.4版本的模块是动态加载的，因此在使用backend时须要moduleload back_bdb指令。

　　bdb是一个高性能的支持事务和故障恢复的数据库后端，能够知足绝大部分需求。许多旧文档里（包括官方）说建议将bdb做为首选后端服务（primary backend），但2.4版文档明确说hdb才是被首先推荐使用的，这从 2.4.40 版默认安装后的配置文件里也能够看出。hdb是基于bdb的，可是它经过扩展的索引和缓存技术能够加快数据访问，修改entries会更有效率，有兴趣能够访问上的连接或slapd.backends。

　　另外config是特殊的backend，用来在运行时管理slapd的配置，它只能有一个实例，甚至无需显式在slapd.conf中配置。

4.6 TLS & SASL

　　分布式LDAP 是以明文的格式经过网络来发送信息的，包括client访问ldap的密码（固然通常密码已然是二进制的），SSL/TLS 的加密协议就是来保证数据传送的保密性和完整性。

　　SASL （Simple Authenticaion and Security Layer）简单身份验证安全框架，它可以实现openldap客户端到服务端的用户验证，也是ldapsearch、ldapmodify这些标准客户端工具默认尝试与LDAP服务端认证用户的方式（前提是已经安装好 Cyrus SASL）。SASL有几大工业实现标准：Kerveros V五、DIGEST-MD五、EXTERNAL、PLAIN、LOGIN。

　　Kerveros V5是里面最复杂的一种，使用GSSAPI机制，必须配置完整的Kerberos V5安全系统，密码再也不存放在目录服务器中，每个dn与Kerberos数据库的主体对应。DIGEST-MD5稍微简单一点，密码经过saslpasswd2生成放在sasldb数据库中，或者将明文hash存到LDAP dn的userPassword中，每个authid映射成目录服务器的dn，常和SSL配合使用。参考将 LDAP 客户端配置为使用安全性

　　EXTERNAL通常用于初始化添加schema时使用，如ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/core.ldif。

4.7 LDIF

　　LDIF（LDAP Data Interchange Format，数据交换格式）是LDAP数据库信息的一种文本格式，用于数据的导入导出，每行都是“属性: 值”对，见 openldap ldif格式示例

　　OpenLDAP(2.4.3x)服务器安装配置方法见这里。