LDAP概念和原理介绍

 

LDAP概念和原理介绍

相信对于许多的朋友来讲，可能据说过LDAP，可是实际中对LDAP的了解和具体的原理可能还比较模糊，今天就从“什么是LDAP”、“LDAP的主要产品”、“LDAP的基本模型”、“LDAP的使用案例”四个方面来作一个介绍。

咱们在开始介绍以前先来看几个问题：

1. 咱们平常的办公系统是否是有多个？

2. 每一个系统之间是否是都有独立的帐号密码？

3. 密码多了，有时候半天想不起来哪一个密码对应哪一个系统？

4. 每次新项目的开发，都须要从新开发和维护一套用户密码？

5. 维护多套系统的用户是否是很是头疼？

So，现在你们不再用为上面的的问题头疼了，由于“LDAP统一认证服务”已经帮助你们解决这些问题了。那么相信你们对“LDAP统一认证服务”是干吗的已经有一个大概的了解了吧？那咱们开始今天要讲解的内容吧！

1、什么是LDAP？

（一）在介绍什么是LDAP以前，咱们先来复习一个东西：“什么是目录服务？”

　　　　1. 目录服务是一个特殊的数据库，用来保存描述性的、基于属性的详细信息，支持过滤功能。

　　　　2. 是动态的，灵活的，易扩展的。

　　　　如：人员组织管理，电话簿，地址簿。

（二）了解完目录服务后，咱们再来看看LDAP的介绍：

LDAP（Light Directory Access Portocol），它是基于X.500标准的轻量级目录访问协议。

目录是一个为查询、浏览和搜索而优化的数据库，它成树状结构组织数据，相似文件目录同样。

目录数据库和关系数据库不一样，它有优异的读性能，但写性能差，而且没有事务处理、回滚等复杂功能，不适于存储修改频繁的数据。因此目录天生是用来查询的，就好象它的名字同样。

LDAP目录服务是由目录数据库和一套访问协议组成的系统。

（三）为何要使用

LDAP是开放的Internet标准，支持跨平台的Internet协议，在业界中获得普遍承认的，而且市场上或者开源社区上的大多产品都加入了对LDAP的支持，所以对于这类系统，不需单独定制，只须要经过LDAP作简单的配置就能够与服务器作认证交互。“简单粗暴”，能够大大下降重复开发和对接的成本。

咱们拿开源系统（YAPI）作案例，只需作一下简单的几步配置就能够达到LDAP的单点登陆认证了：

 

{ "ldapLogin": { "enable": true, "server": "ldap://l-ldapt1.ops.dev.cn0.qunar.com", "baseDn": "CN=Admin,CN=Users,DC=test,DC=com", "bindPassword": "password123", "searchDn": "OU=UserContainer,DC=test,DC=com", "searchStandard": "mail" } }

 

是否是很方便呢？

 

2、LDAP的主要产品

细心的朋友应该会主要到，LDAP的中文全称是：轻量级目录访问协议，说到底LDAP仅仅是一个访问协议，那么咱们的数据究竟存储在哪里呢？

来，咱们一块儿看下下面的表格：

厂商	产品	介绍
SUN	SUNONE Directory Server	基于文本数据库的存储，速度快 。
IBM	IBM Directory Server	基于DB2 的的数据库，速度通常。
Novell	Novell Directory Server	基于文本数据库的存储，速度快, 不经常使用到。
Microsoft	Microsoft Active Directory	基于WINDOWS系统用户，对大数据量处理速度通常，但维护容易，生态圈大，管理相对简单。
Opensource	Opensource	OpenLDAP 开源的项目，速度很快，可是非主 流应用。

 

 

 

 

 

 

 

 

 

 

没错，这就是正常存储数据的地方，而访问这些数据就是经过咱们上述所说的LDAP。相信到这里你们应该了解二者之间的关系了吧！

3、LDAP的基本模型

每个系统、协议都会有属于本身的模型，LDAP也不例外，在了解LDAP的基本模型以前咱们须要先了解几个LDAP的目录树概念：

（一）目录树概念

1. 目录树：在一个目录服务系统中，整个目录信息集能够表示为一个目录信息树，树中的每一个节点是一个条目。

2. 条目：每一个条目就是一条记录，每一个条目有本身的惟一可区别的名称（DN）。

3. 对象类：与某个实体类型对应的一组属性，对象类是能够继承的，这样父类的必须属性也会被继承下来。

4. 属性：描述条目的某个方面的信息，一个属性由一个属性类型和一个或多个属性值组成，属性有必须属性和非必须属性。

（二）DC、UID、OU、CN、SN、DN、RDN

关键字	英文全称	含义
dc	Domain Component	域名的部分，其格式是将完整的域名分红几部分，如域名为example.com变成dc=example,dc=com（一条记录的所属位置）
uid	User Id	用户ID songtao.xu（一条记录的ID）
ou	Organization Unit	组织单位，组织单位能够包含其余各类对象（包括其余组织单元），如“oa组”（一条记录的所属组织）
cn	Common Name	公共名称，如“Thomas Johansson”（一条记录的名称）
sn	Surname	姓，如“许”
dn	Distinguished Name	“uid=songtao.xu,ou=oa组,dc=example,dc=com”，一条记录的位置（惟一）
rdn	Relative dn	相对辨别名，相似于文件系统中的相对路径，它是与目录树结构无关的部分，如“uid=tom”或“cn= Thomas Johansson”

 

 

 

 

 

 

 

 

 

 

 

 

 

 

（三）基本模型：

信息模型：

　　命名模型：

　　

　　功能模型：

　　

　　安全模型：

　　

4、LDAP的使用

　　那咱们是如何访问LDAP的数据库服务器呢？

　　

　　统一身份认证主要是改变原有的认证策略，使须要认证的软件都经过LDAP进行认证，在统一身份认证以后，用户的全部信息都存储在AD Server中。终端用户在须要使用公司内部服务的时候，都须要经过AD服务器的认证。

　　那么程序中是如何访问的呢？ 咱们以PHP脚本做为例子：

$ldapconn = ldap_connect(“10.1.8.78") $ldapbind = ldap_bind($ldapconn, 'username', $ldappass); $searchRows= ldap_search($ldapconn, $basedn, "(cn=*)"); $searchResult = ldap_get_entries($ldapconn, $searchRows); ldap_close($ldapconn);

1. 链接到LDAP服务器；

2. 绑定到LDAP服务器；

3. 在LDAP服务器上执行所需的任何操做；

4. 释放LDAP服务器的链接；

 

 　　这章就只介绍LDAP的一些概念和基本的原理，代码的操做下一章再展开来说错或讲的很差的地方，还望指教！~