LDAP协议

虚构之人

已于 2023-02-08 00:09:32 修改

阅读量2.2k

点赞数

分类专栏：域安全文章标签：信息安全网络网络安全

于 2023-02-07 00:02:04 首次发布

本文链接：https://blog.csdn.net/qq_18811919/article/details/128894319

版权

域安全专栏收录该内容

30 篇文章 9 订阅

订阅专栏

LDAP

LDAP是轻型目录访问协议,活动目录存储了有关网络对象的信息,
并且让管理员和用户能够轻松查询和使用信息,LDAP支持跨平台,
可以单独在服务器上部署LDAP,实现与域控相同的功能,从而任何
应用都可以直接访问LDAP目录实现认证、信息获取、信息存储,
并不完全依赖域控。

LDAP基础

1.信息模型:
	LDAP使用面向对象的数据库,用户对象、计算机对象等
	对象类都拥有类和属性,设计时赋予了类继承特性,降低了复杂度。
2.命名模型:
	LDAP中每个对象都用拥有独一无二的DN属性和RDN,DN是
	整个树种唯一的表示,RDN是DN中每一个用逗号分割的表达式,
	如:CN=Admin,DC=a3sroot,DC=com中就有3个RDN。
3.功能模型:
	包括查询类操作如:搜索、比较、,更新类操作类如:添加条目
	、删除条目、修改条目或条目名,认证类操作:如绑定、解绑的、
	其他操作如放弃和扩展操作。
4.安全模型:
	LDAP中的安全模型提供三种认证机制:匿名认证、基本认证和SASL认证。
	匿名认证:
		不对用户进行认证、该方法仅对完全公开的方式适用。
	基本认证:
		通过用户名和密码进行身份验证、又分为简单密码认证和摘要密码认证。
	SASL:
		SASL认证是在SSL和TLS安全通道基础上进行的身份验证，
		包括数字证书的认证。

LDAP应用特性

1.名唯一:
	不能出现相同对象名如拥有一个叫Admin的用户,将不允许出现一个admin组。
2.可继承:
	可动态继承访问权限,比如子对象通过继承将自动获取并推迟父对象的访问权限,
	如果更改父对象的访问权限,相同的更改会应用到父对象中的所有子对象。
3.可复制:
	基于微软的只是一致性检查器(KCC)进行信息复制,KCC是一个在所有域控上运行
	并为林生成复制拓展的内置进程,会根据网络状态和目录服务配置创建单独的复制拓展。
4.跨平台:
	可以在任何计算机平台上使用LDAP客户端进行访问目录服务，可以很容易
	在定制软件上完成LDAP支持。
5.树结构:
	活动目录金支持OpenLDAP中的树形结构,这样可以更好地体现域内组织架构。

全局编录服务器

全局编录服务器（Global Catalog GC）,默认情况下想新林创建的第一个域控服务器是
GC,此后将新的域控添加到已存在的域中需要指定成为GC,GC存储的是有关整个林中
所有域的所有对象信息,而不是仅存储一个活动目录域中的信息,KCC(一致性检查器)创建
复制拓扑,确保每一个活动目录都可以将分区内容传递到林中每一个GC中。
默认情况下域中的GC上监听端口TCP3268（或者3269用于SSL上的LDAP）,
直接使用LDAP客户端连接GC相应端口即可访问全局目录,当使用该端口连接
将只允许只读方式。

LDAP定义

LDAP使用的是X.500标准定义的拥有以下名词DC、OU、CN、DN、RDN、UPN、
Container、FQDN。
DC(域组件 Domain Component):
	如果你的你的域名叫做ldap.com的话那么你的DC全称叫做
	DC=ldap,DC=com

在这里插入图片描述

OU(Organiaztion Unit 组织单位):
	OU最多可以拥有四级每级最多32个字符,OU中包含对象、容器
	还可以包含其他组织单位,组织单位还可以链接组策略。

在这里插入图片描述

CN（Common Name 通用名称）:
	是对象的名称比如在Usersr容器下有一个叫test的用户
	CN=test,CN=Users,DC=xie,DC=com
	可以发现看到了有两个CN这里的CN=Users比较特殊他不是OU而是容器,
	下面将讲解说明是容器。

在这里插入图片描述

Container(容器):
	容器相较于OU最大的区别就是容器可以包含其他对象、比如用户、计算机等
	但是不能在嵌套其他容器或者OU,而OU是可以嵌套其他OU或者容器的。
	比如Users容器下就是所有用户。
	CN=Users,DC=xie,DC=com
DN（Distinguished Name 可分辨名称）
	AD活动目录中每个对象都拥有完全唯一的DN,DN有三个属性分别是DC、OU、CN、
	DN也可以表示为LDAP的某个目录以入域的主机名DESKTOP-IOFJA89为例子,
	它存在于Computers容器中那么他的DN全程就是,CN=DESKTOP-IOFJA89,CN=Computers,DC=xie,DC=com

在这里插入图片描述

RDN(相对可分辨名称):
	与目录结构无关,比如RDN叫CN=Administrator,CN=Administrator,CN=Users,DC=xie,DC=com
	可以具有相同的RDN,但不能具有相同的DN。

UPN(User Principal Name 用户主体名称):
	用户的可分辨名称,用户登录时最好输入UPN,因为无论用户的账号被移动到了那个域中
	UPN都不会变化,比如admin的UPN叫做admin@xie.com
FQDN(Fully Qualified Domain Name 全限定域名)
	跟UPN其实差不多,UPN代表是用户那么FQDN代表的就是机器,比如DESKTOP-IOFJA89为例子FQDN
	叫做DESKTOP-IOFJA89.xie.com