LDAP 的介绍与应用

最新推荐文章于 2024-05-03 16:56:10 发布
最新推荐文章于 2024-05-03 16:56:10 发布
阅读量5.4k 收藏 27
点赞数 2
文章标签： java docker
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/wyfvsfy/article/details/132644193
版权

一、LDAP 介绍

什么是 LDAP ?

LDAP 全称为 Light Directory Access Protocol 轻量级目录访问协议， LDAP目录以树状的结构来存储数据，可以理解为一个目录数据库。

目录数据库（LDAP）与关系类型数据库（MySQL）的区别？

  1. LDAP 读性能好，但写性能差，不支持事务处理、回滚等复杂功能，不适用与频繁的数据更新场景，主要还是应用于读多写少场景。
  2. 关系数据库表则是将数据是以行列的形式存储在一张表中，而LDAP 数据库则是将数据组织成一个树形结构，数据存储在叶子节点。
  • 关系类型表的数据结构

组织机构表结构 (dept)

iddept_name
1技术部
2市场部

用户表结构 (user)

idaccountnamepasswordphonedept_name
1zhangsan张三12345613112345678技术部
2lisi李四65432113156781234市场部
  • LDAP 目录数据结构
    在这里插入图片描述

LDAP 能干点啥？

账号的统一管理
企业内部有多个第三方系统，每入职一个新员工，管理员需要在每个系统中创建一个账号再发给新员工。而管理员希望能够统一在用户管理系统中统一创建用户，然后可以登录到各个第三方系统中。

在这里插入图片描述

  1. 用户管理系统为企业内部的用户系统，管理员负责在该系统进行创建用户、更新用户和删除用户等管理操作。用户管理系统需要将用户信息增量的同步到LDAP存储中，而这个过程需要通过开发完成。
  2. PHPLDAPAdmin 是LDAP的可视化管理Web端工具。管理员也可以通过PHPLDAPAdmin对LDAP的用户信息进行管理操作，这个工具类似数据库连接工具Navicat，生产环境不建议这样操作。一般是数据出现差异或错误时使用。
  3. 第三方系统通过支持LDAP协议完成与OpenLDAP服务的登录认证，当用户登录成功后，通过LDAP提供的API获取已登录的用户信息。

整体流程如下：

  1. 首先，由管理员再用户管理系统为用户创建登录的用户名和密码等用户信息，或者管理员直接在PHPLDAPAdmin这个Web工具进行创建用户信息。
  2. 用户管理系统需要将创建的用户信息通过调用LDAP的API实时的写入到LDAP存储中。
  3. 用户通过管理员创建的账号和密码登录到第三方系统，例如：GitLab。此时 GitLab 与 LDAP 服务进行登录认证。登录认证成功后，GitLab 会获取当前登录的用户数据进行业务处理，创建用户会话。
  4. 最后， 用户在用户管理系统上更新个人信息或重置密码，用户管理系统需要同步该用户更新的数据。保证用户下次再访问第三方系统时，能够正常登录和获取最新的用户信息。

LDAP 的基本概念

条目（Entry）

目录管理的对象，也称之为一个节点，是LDAP中最基本单元，类似数据库表中的一条记录。通常对LDAP的增删改查都是以条目作为基本对象。

  1. DC，（Domain Component）域的组织，类似关系型中的库名。例如：域名cubigdata.cn 可以表示为 dc=cubigdata,dc=cn。
  2. DN，（Distinguished Name）每一个条目都有一个唯一的标识名。例如：“cn=技术部,ou=dept,dc=cubigdata,dc=cn” , 类似行记录中的主键。
  3. Base DN，最顶部就是根,如“dc=cubigdata,dc=cn"。
  4. OU（Organization Unit），ou 指代组织单元、部门。类似上面图中的技术部、市场部等。

属性（Attribute）

如果条目类似于数据库表中的一条记录，那么属性类似于数据库表中的定义的字段，一个条目（Entry）包含多个属性（Attribute），如果定义用户（User）是一个条目，属性可以由姓名、邮箱、电话等。

对象类（Object Classes）

对象类（Object Classes）与Java中的 Class 是一样的概念，一个对象类中包含多个属性，LDAP 内置一些常见的对象类方便自定义时进行继承，对象类主要用于定义 Schema。

模式（Schema）

模式（Schema）*类似数据库中的Schema 用于定义了表结构、属性字段和语法格式。而 LDAP 的 Schema 中包含了 对象类（ObjectClass）、属性（AttributeType）、语法（Syntax），用于条目数据在导入时进行模式检查，确保目录中所有的条目数据结构是一致的。

二、LDAP 安装部署

镜像下载

  • openldap LDAP服务目录
    docker pull osixia/openldap:latest
  • phpldapadmin
    docker pull osixia/phpldapadmin:latest

启动镜像

启动 openldap 服务

docker run -d \
--name openldap \
--hostname openldap \
-p 389:389 \
-p 636:636 \
-e LDAP_ORGANISATION="cubigdata" \
-e LDAP_DOMAIN="cubigdata.cn" \
-e LDAP_ADMIN_PASSWORD="123456" \
-v /Users/docker/openldap/ldap:/var/lib/ldap \
-v /Users/docker/openldap/slapd.d:/etc/ldap/slapd.d \
osixia/openldap:latest
命令参数含义
-v /Users/docker/openldap/ldap:/var/lib/ldap数据持久化到本地
-v /Users/docker/openldap/slapd.d:/etc/ldap/slapd.d配置持久化到本地
-p 389:389TCP/IP 访问端口
-p 636:636SSL 连接端口
–env LDAP_ORGANISATION=“cubigdata”配置 LDAP 域名
–env LDAP_DOMAIN=“cubigdata.cn”配置 LDAP 组织名称
–env LDAP_ADMIN_PASSWORD=“123456”配置 LDAP 密码

启动 phpldapadmin

docker run -d -p 8060:80 \
--name phpldapadmin \
-e PHPLDAPADMIN_HTTPS=false \
-e PHPLDAPADMIN_LDAP_HOSTS=172.17.0.4 \
osixia/phpldapadmin:latest
命令参数含义
-e PHPLDAPADMIN_HTTPS关闭HTTPS访问
-e PHPLDAPADMIN_LDAP_HOSTS指定OpenLDAP服务的地址，这里配置的是容器内IP

登录访问

  • 输入访问地址：http://localhost:8060/
  • Login（DN）：cn=admin,dc=cubigdata,dc=cn
  • Password：123456
    在这里插入图片描述

创建用户数据

  • 首先，创建两个组织单元（OU），分别命名为 depts 和 users。
    在这里插入图片描述在这里插入图片描述
    在这里插入图片描述
  • 其次，在 depts 下创建一个技术部节点，在users 下创建张三和李四两个账号，密码设置为 123456
  1. 创建组织机构
    在这里插入图片描述
  2. 创建用户数据
    在这里插入图片描述
    在这里插入图片描述
    最后，用户创建完成，下面需要配置一个第三方系统看一下是否可以使用。

三、第三方系统配置 LDAP

ShenYu 网关集成 LDAP

  • 认证流程
    用户登录时 Shenyu Admin 服务与 OpenLDAP 服务进行该用户名和密码认证，认证通过后，如果该用户不存在，Shenyu Admin 将保存该用户信息到用户表中。
  • 添加配置
shenyu:
  ldap:
    enabled: true
    url: ldap://127.0.0.1:389
    bind-dn: cn=admin,dc=cubigdata,dc=cn
    password: 123456
    base-dn: ou=users,dc=cubigdata,dc=cn
    object-class: posixAccount
    login-field: uid
  • 配置详解
名称类型默认值是否必填说明
enabledbooleantrue否是否启用
urlString无是ldap连接地址
bind-dnString无否UserDn
passwordString无否密码
base-dnString无否searchBase
object-classStringperson否posixAccount
login-fieldStringcn否searchBase
connectTimeoutint3000否连接超时时间（毫秒）
readTimeoutint3000否读取操作超时时间（毫秒）

注意：object-class 创建时选择的是 User Account，这里选择对应的是 posixAccount
在这里插入图片描述

自定义 Schema

当 LDAP 内置的 ObjectClass 不满足业务需求时，通过自定义方式创建自己的Schema，可以通过如下方式进行。

创建 schema 文件

创建一个sysuser.schema文件，保存如下信息

# 镜像中 vim 命令不存在需要先安装
apt-get update && apt-get install vim
mkdir -p /etc/ldap/schema/selfdefine 
vim /etc/ldap/schema/selfdefine/sysuser.schema

# name,email 属性已经为内置属性，所以这里定义为userName和userEmail
attributetype ( 23.8.14.1.1
        NAME 'userAccount'
        DESC '登录账号'
        EQUALITY caseIgnoreMatch
        SUBSTR caseIgnoreSubstringsMatch
        SYNTAX 1.3.6.1.4.1.1466.115.121.1.15 
        SINGLE-VALUE)

attributetype ( 23.8.14.1.2
        NAME 'userPhone'
        DESC '手机号'
        EQUALITY caseIgnoreMatch
        SUBSTR caseIgnoreSubstringsMatch
        SYNTAX 1.3.6.1.4.1.1466.115.121.1.15 )

attributetype ( 23.8.14.1.3
        NAME 'userEmail'
        DESC '邮箱'
        EQUALITY caseIgnoreMatch
        SUBSTR caseIgnoreSubstringsMatch
        SYNTAX 1.3.6.1.4.1.1466.115.121.1.15 )

attributetype ( 23.8.14.1.4
        NAME 'userName'
        DESC '用户姓名'
        EQUALITY caseIgnoreMatch
        SUBSTR caseIgnoreSubstringsMatch
        SYNTAX 1.3.6.1.4.1.1466.115.121.1.15 )

objectclass     ( 23.8.14.1.100
    NAME 'SysUser'
    DESC '用户实体'
    SUP top
    STRUCTURAL
    MUST ( userId $ userAccount  )
    MAY (  userPhone $ userEmail $ userName $ userPassword ))
  • Must 代表必填字段名
  • MAY 新增的字段名，其中 userPassword 是内置的 （AttributeType）属性
字段含义
23.8.14.1.1自定义即可，但需要保证全局唯一
NAME字段名称
EQUALITY默认caseIgnoreMatch即可。这是LDAP中为了加快查询的速度，针对不同的数据类型，可以提供不同的匹配方法。如针对字符串类型的相等、模糊、大于、小于、子串包含等，这样就为服务器在搜索操作过程中如何比较字符串提供了准则。在查询过程中，匹配规则告知服务器所用的对照顺序及运算符
SYNTAX默认1.3.6.1.4.1.1466.115.121.1.15 即可。语法没有名称，所以在使用时应引用OID。语法主要指的是数据类型，LDAP中大部分数据类型是字符型，为了检索的需要，添加了BIN(二进制数据)、CIS(忽略大小写)、CES(大小写敏感)、TEL(电话型)等语(syntax)，这些和关系数据库提供的整数、浮点数、日期、货币等类型既有一些相似的地方也略有不同
SINGLE-VALUE值唯一

生成LDIF文件

  1. 创建配置文件，在文件中加入如下信息
vim /etc/ldap/schema/selfdefine/sysuser.conf

include /etc/ldap/schema/core.schema
include /etc/ldap/schema/selfdefine/sysuser.schema
  1. 执行命令生产.ldif 文件
slaptest -f /etc/ldap/schema/selfdefine/sysuser.conf -F /etc/ldap/schema/selfdefine

生成文件目录如下：
在这里插入图片描述

  1. 修改ldif文件
cd /etc/ldap/schema/selfdefine/cn=config/cn=schema
cp cn={1}sysuser.ldif sysuser.ldif
vi sysuser.ldif
  • dn 修改为 cn=sysuser,cn=schema,cn=config
  • cn 修改为 cn=sysuser
    如下图：在这里插入图片描述
    在这里插入图片描述
  1. 将该文件添加进OpenLDAP库
slapadd -l /etc/ldap/schema/selfdefine/cn=config/cn=schema/sysuser.ldif -n 0
# 查看一下是否添加成功
ls -l /etc/ldap/slapd.d/cn=config/cn=schema/

在这里插入图片描述

  1. 重启 slapd 服务，这里重启docker即可
docker restart openldap
  1. 验证 schema 是否创建成功
    点击 schema 列表，搜索 SysUser 如果存在代表添加成功。

    在这里插入图片描述
wyfvsfy
关注
  • 2
    点赞
  • 踩
  • 27
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
LDAP的介绍以及JAVA使用LdapTemplate来进行AD域的操作
damokelisijian866的博客
12-18 1715
AD是Active Directory的缩写，AD是LDAP的一个应用实例，而不应该是LDAP本身。比如：windows域控的用户、权限管理应该是微软公司使用LDAP存储了一些数据来解决域控这个具体问题，只是AD顺便还提供了用户接口，也可以利用ActiveDirectory当做LDAP服务器存放一些自己的东西而已。比如LDAP是关系型数据库，微软自己在库中建立了几个表，每个表都定义好了字段。显然这些表和字段都是根据微软自己的需求定制的，而不是LDAP协议的规定。
LDAP应用技术简述
泉山林海
03-29 1721
 LDAP应用技术简述（一）一、简介；         a)   X500目录服务；         OSL X.500目录是基于OSI网络协议的目录服务协议，也是LDAP的前身。但是X。500的缺点是不支持TCP/IP，而是支持OSI协议，显然，在 Windows等个人电脑上不可以使用OSI协议，在此前提下，也就产生了访问X500目录的网关--LDAP。         b)   LDA
理解与应用LDAP服务器
08-26
关于LDAP的概念随便网上有很多，我不想重复，这里只是说一下我自己的理解。都说它是“轻量级目录协议”，太专业，我不懂，我只把它想象成“简单”的目录协议
LDAP属性介绍
Marshall_Ma的博客
03-09 3439
LDAP集成之属性介绍
Ldap安装部署
最新发布
zachz的博客
05-03 1452
openLdap 安装部署，包成！！！
LDAP简介，基本模型，安装LDAP,安装和配置LDAP管理工具PHPldapadmin
涂作权的博客
05-11 8045
目录 OpenLDAP 1.1. OpenLDAP简介 1.2. LDAP的基本模型 1.2.1. 目录树概念 1.2.2. DC、UID、OU、CN、SN、DN、RDN 1.2.3. 基本模型 1.3. LDAP的使用 1.4. 相关网址 1.5. 安装OpenLDAP 1.5.1. 系统环境信息 1.5.2. 基础的环境准备 1.5.3. OpenLDAP服务器的搭建 1.5.4. 安装和配置LDAP管理工具PHPldapadmin 1.OpenLDAP 1.1.OpenLD
ldap详解.doc
04-20
LDAP是轻量级目录访问协议的简称(Lightweight Directory Access Protocol).用于访问目录服务。它是X.500目录访问协议的移植，但是简化了实现方法。
LDAP介绍及使用
椰汁菠萝
03-29 2万+
一、LDAP介绍 目录服务(Directory Service) 目录是专门为搜索和浏览而设计的专用数据库，支持基本的查找和更新功能。 提供目录服务的方式有很多。不同的方法允许将不同类型的信息存储在目录中，对如何引用，查询和更新该信息，如何防止未经授权的访问等提出不同的要求(这些由LDAP定义)。一些目录服务是本地的，提供本地服务；一些目录服务是全球性的，向更广泛的环境（例如，整个Internet）提供服务。全局服务通常是分布式的，这意味着它们包含的数据分布在许多机器上，所有这些机器协作以提供目录服务。通常
LDAP简介
weixin_53273474的博客
12-28 4781
LDAP是LightWeight Directory Access Protocol的简称，是一种轻量目录访问协议。它是基于X.500标准的，可以根据需要定制。与X.500不同，LDAP支持TCP/IP,这对访问Internet是必须的。LDAP的核心规范在RFC中都有定义，所有与LDAP相关的RFC都可以在LDAP man RFC网页中找到。简单来说，LDAP是一个得到关于人或者资源的集中、静态数据的快速方式。LDAP是一个用来发布目录信息到许多不同资源的协议。
LDAP入门
罗小爬的技术宝书
03-05 2936
本文主要介绍了LDAP相关概念，讲解了使用OpenDJ在Windows系统快速搭建Ldap服务端及其管理工具control-panel、Apache Directory Studio，旨在帮助读者快速入门LDAP。
LDAP——实现用户统一登录管理
菜鸟琪
07-26 1万+
通过本文你叫了解什么所LDAP，以及LDAP的用途。OpenLDAP的部署方式与集成第三方系统教程。
LDAP基本介绍
marylgao技术专栏
10-10 4212
什么是目录服务 目录服务又叫Directory，是一种特殊的数据库，主要用来对数据库中的数据进行查找和浏览。 目录主要存储了对象的基本描述信息和一些属性信息，可根据名字进行查找，也可通过部分过滤条件对数据进行查找，同时目录要求对于查找和搜索都能快速返回。 目录不会像数据库管理系统一样提供事物和回滚操作，目录通常只提供一些基本的数据更新操作，而且更新通常都是指全量更新。 什么是LDAP LDAP 是轻量目录服务访问协议，英文是 Lightweight Directory Access Protocol，是一个
理解与应用ldap服务器
07-01
【LDAP（轻量级目录访问协议）的理解与应用】 LDAP是一种用于访问和管理分布式目录服务的协议，主要用于存储和检索用户、组、网络资源等信息。尽管“轻量级”可能让人误解其复杂性，但事实上，LDAP简化了目录服务的...
ldap:LDAP代理，用于将支持LDAP的应用程序连接到NetAuth
03-18
LDAP桥公开数据的格式与提供给实际NetAuth客户端的格式略有不同。这些组以展平格式显示，并处理了所有扩展，并且所有组都以特殊的ou=groups路径为中心。类似地，实体在基本DN下的ou=entities路径下显示。 说到基本...
RFC1823_LDAP 应用程序界面 .doc
08-23
RFC1823 提供了关于 LDAP 应用程序接口（API）的详细信息，帮助开发人员构建与 LDAP 服务器交互的应用程序。 ### 1. 摘要 RFC1823 的摘要部分主要概述了 LDAP API 的设计目标和主要功能，旨在为开发者提供一种标准...
LDAP概念和原理介绍
MyySophia的博客
04-09 2906
LDAP是开放的Internet标准，支持跨平台的Internet协议，在业界中得到广泛认可的，并且市场上或者开源社区上的大多产品都加入了对LDAP的支持，因此对于这类系统，不需单独定制，只需要通过LDAP做简单的配置就可以与服务器做认证交互。相信对于许多的朋友来说，可能听说过LDAP，但是实际中对LDAP的了解和具体的原理可能还比较模糊，今天就从“什么是LDAP”、“LDAP的主要产品”、“LDAP的基本模型”、“LDAP的使用案例”四个方面来做一个介绍。所以目录天生是用来查询的，就好象它的名字一样。
可能是最详细的LDAP讲解
热门推荐
zou8944的博客
01-03 3万+
本文试图清晰明白的讲述LDAP是什么、应用场景、使用方法。 开篇照例一波吐槽。LDAP这个名字大家不会陌生，即所谓轻量级目录访问协议。无论博客还是论坛，网上对它的讲解太多了，但在我看来，都不得要领。它们中的大多数都仅介绍了冰山一角，还不注明资料来源。想来，作者很可能也不知道这些知识从哪里来的，这篇文章看看、那篇文章参考一下，东拼西凑，再看看库的API，写写代码，然后…it works!!!，再然后就没有然后了吧????。 本文试图从协议本身出发，尽量做到系统化。就算读者看了这篇文章还是不能掌握，也可以自己
【TCP/IP协议】LDAP，轻型目录访问协议（Lightweight Directory Access Protocol）
par@ish的博客
12-12 2090
LDAP，全称轻型目录访问协议（Lightweight Directory Access Protocol），是一种用于访问、管理和查询分布式目录服务的协议。它广泛应用于企业、组织以及互联网服务提供商（ISP）等场景，为身份验证、访问控制、目录查询和数据管理等功能提供支持。
ldap与radius的优缺点
06-07
LDAP和RADIUS都是用于身份验证和授权的协议，但它们的设计目的和应用场景略有不同。下面是它们的优缺点： LDAP的优点： - LDAP是一种通用的协议，可以用于管理各种类型的目录服务，如企业内部的用户、组、设备等。 - LDAP协议支持多种安全机制，如SSL/TLS和SASL，可以保护通信的机密性和完整性。 - LDAP协议可以扩展，可以添加新的属性和对象类，以适应不同的应用场景。 LDAP的缺点： - LDAP协议的配置和管理比较复杂，需要专业知识和技能。 - LDAP协议的性能受到目录大小、查询复杂度和网络带宽等因素的影响。 - LDAP协议需要使用专门的客户端软件进行查询和管理，不太适合普通用户使用。 RADIUS的优点： - RADIUS是一种专门用于身份验证和授权的协议，可以支持广泛的网络设备和应用程序。 - RADIUS协议可以集中管理用户和设备的访问权限，提高安全性和可管理性。 - RADIUS协议的性能较高，可以处理大量的用户和设备请求。 RADIUS的缺点： - RADIUS协议只能处理认证和授权问题，不能处理其他类型的请求。 - RADIUS协议的安全机制比LDAP协议简单，可能存在安全隐患。 - RADIUS协议的扩展性较差，不能很好地适应不同的应用场景。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值