LDAP协议

最新推荐文章于 2024-07-24 10:59:45 发布

chenkaifang

最新推荐文章于 2024-07-24 10:59:45 发布

阅读量8.3k

点赞数

分类专栏：协议分析

本文链接：https://blog.csdn.net/chenkaifang/article/details/94309472

版权

协议分析专栏收录该内容

17 篇文章 2 订阅

订阅专栏

1、LDAP是Lightweight Directory Access Protocol的缩写，顾名思义，它是指轻量级目录访问协议（这个主要是相对另一目录访问协议X.500而言的；LDAP略去了x.500中许多不太常用的功能，且以TCP/IP协议为基础）。目录服务和数据库很类似，但又有着很大的不同之处。数据库设计为方便读写，但目录服务专门进行了读优化的设计，因此不太适合于经常有写操作的数据存储。同时，LDAP只是一个协议，它没有涉及到如何存储这些信息，因此还需要一个后端数据库组件来实现。

运行在 tcp/ip之上，一般使用389端口进行数据传输。目录服务用于通过键-值类型格式存储、整理及表达数据。一般来讲，目录会面向查找、搜索以及读取操作做出优化，因此适用于经常引用但却较少变更的数据。

2、几个概念

条目：

单凭属性本身没有多少作用，我们必须将其与其它事物进行关联。在LDAP中，我们在条目内使用属性。条目基本上相当于属性与一条用于描述事物的名称的集合。

LDIF（即LDAP数据交换格式）内的条目示例如下：

dn: sn=Ellingwood,ou=people,dc=digitalocean,dc=com
objectclass: person
sn: Ellingwood
cn: Justin Ellingwood

以上即为LDAP系统中的一条有效条目。

objectClass

对象类由 LDAP 目录使用来定义给定类型的对象可以有哪些属性。对象类还定义项必须有什么属性，以及项可以有什么属性。所有对象类都从其父对象类继承需求，然后添加它们自己的需求。

对象类有五个组件：OID（对象标识）、唯一名称、父对象（SUP）、任何需要的属性（MUST）和允许的属性列表（MAY）。OID是由LDAP目录的内部数据库机制使用的数据标识符。从概念上讲，它们与IP地址相似，因为每个对象类都必须有一个唯一数字。并且象DNS和IP之间的关系那样，由创建它们的个人进行注册，并由这些人“拥有”。

在LDAP中objectClass分为三种：Abstract，Structural，AUXIALIARY。要定义一个Entry必须包含一个Structural类型的ObjectClass，

其他两个类型可包括0或多个。其中Top是一个顶级ObjectClass，里面定义了一个MUST Attribute：ObjectClass，于是也就决定了必须有

一个其它的Structural ObjectClass才能定义一个Entry.其中ObjectClass又可以存在继承关系，子ObjectClass会继承父ObjectClass中的

全部Attribute.该继承关系于Java中有点相似.

Attribute

Attribute类同于编程语言中的变量，它可以被赋值，就像是可以存放一个单一类型信息的容器。官方声明了许多常用的 Attribute,如果其中没有你所需要的，你可以自己定义，但要避免重名。objectClass是一种特殊的Attribute，它包含其它用到的 Attribute以及它自身。常见的Attribute如下：

schema

LDAP中，schema用来指定一个目录中所包含的objects的类型（objectClass）以及每一个objectClass中的各个必备（mandatory）和可选（optional）的属性（attribute）。因此，Schema是一个数据模型，它被用来决定数据怎样被存储，被跟踪的数据的是什么类型，存储在不同的Entry下的数据之间的关系。schema 需要在主配置文件slapd.conf中指定，以用来决定本目录中使用到的objectClass。管理员可以自己设计制定schema，一般包括属性定义（AttributeDefinition）、类定义（ClassDefinition）以及语法定义（SyntaxDefinition）等部分。

LDAP V3中在x.500标准的基础上定义了一个包含了网络中大多常见对象的schema，这些对象包括国家、所在地、组织、人员、小组以及设备等。同时，LDAP V3中可以很方便的从目录中提取出schema，它正是一条记录中关于属性的声明部分。

对象标识符

对象标识符（Object Identifiers ）是被LDAP内部数据库引用的数字标识。Attribute的名字是设计为方便人们读取的，但为了方便计算机的处理，通常使用一组数字来标识这些对象，这类同于SNMP中的MIB2。例如，当计算机接收到dc这个Attribute时，它会将这个名字转换为对应的OID： 1.3.6.1.4.1.1466.115.121.1.26。

3、形象描述

从用途上阐述LDAP，它是一个存储静态相关信息的服务，适合“一次记录多次读取”。常用LDAP服务存储的信息：

公司的物理设备信息（如打印机，它的IP地址、存放位置、厂商、购买时间等）
 公开的员工信息（地址、电话、电子邮件…）
 合同和账号信息（客户信息、产品交付日期、投标信息、项目信息…）
 凭证信息（认证凭证、许可证凭证…）

从数据结构上阐述LDAP，它是一个树型结构，能有效明确的描述一个组织结构特性的相关信息。在这个树型结构上的每个节点，我们称之为“条目（Entry）”，每个条目有自己的唯一可区别的名称（Distinguished Name ，DN）。条目的DN是由条目所在树型结构中的父节点位置（Base DN）和该条目的某个可用来区别身份的属性（称之为RDN如uid , cn）组合而成。对Full DN ：“shineuserid=linly , ou=Employee , dc=jsoso , dc=net”而言，其中Base DN：“ou=Employee , dc=jsoso , dc=net”，RDN：“shineuserid=linly”下面是一个LDAP服务器的数据结构图：