安全之LDAP认证



集中式用户认证LDAP

作用：
提供集中用户认证的信息
提供用户信息的查询
Lightweight Directory Access Protocol 轻量级目录访问协议
====================================================================

一、相关概念：
1. Directory Services 目录服务
   它是一个特殊的数据库，它存储的是一些小的信息块
   常见的目录服务：
   电话本： 电话号码 人名
   DNS：   主机名 IP
   NIS：   账户信息：用户名 密码...
   LDAP：   用户联系信息: 国家 省 街道 邮编 邮件 电话...
               账户信息：username passwd home uid gid
                任何信息：例如鱼香肉丝食材原料
   AD：     Windows(LDAP + Kerberos)

   关系型数据库：MySql,oracle,db2,sql server 写和读都是频繁
   目录服务： LDAP，AD写少，读频繁（一次写入，多次读取），优化读
 
2. X.500 Directory Service
   DAP:      目录访问协议
   LDAP:      轻量级目录访问协议

X.500是，构成全球分布式的名录服务系统的协议。X.500组织起来的数据就象一个很全的电话号码簿，或者说一个X.500系统象是一个分门别类的图书馆。而某一机构建立和维护的名录数据库只是全球名录数据库的一部分。

X.500目录服务是一种CCITT（ITU）针对已经被国际标准化组织（SIO）接受的目录服务系统的建议。X．500定义一个机构如何在一个企业的全局范围内共享名字和与它们相关的对象。一个完整的X．500系统称为一个“目录”。X．
500已经被接受作为提供世界范围的目录服务的一种国际标准。它与X．400电子函件标准密切相连。X．500是层次性的，其中的管理性域（机构、分支、部门和工作组）可以提供这些域内的用户和资源的信息。X．500被认为是实
现一个目录服务的最好途径，但是它的实现需要很大投资，却没有其它方式的速度快。

二、Schema架构：
====================================================================
重量级知识点：
entry，entries      条目, LDAP数据库里基本的存储单元，一堆属性的集合
attributes        属性, 每个属性有一个type类型，一个或多个values值
distinguished name     DN, 唯一的区分名，用以区分条目，数据库中不能出现两相条目有相同的DN
rdn             相对区分名, dn最左边

Schema      架构, 规定数据库里条目中能存什么，以及怎么存！
object classes:       对象类, name/OID：   规定一个entry可