在LDAP中使用角色（Role）和组（Group）来管理用户

LDAP（轻量级目录服务器）越来越被广泛的使用，特别是在管理海量用户信息和管理身份认证信息的时候，LDAP被国内大多数企业所使用，从中国电信，中 国移动，新浪，和许多省市政府部门都使用LDAP来管理用户身份的信息。下面重点介绍在LDAP中管理用户的一些概念和技巧。

LDAP服务器使用树状结构来存储和查找用户的信息。这种树状结构比较适合用户身份信息的存储，因为无论在社会还是在企业中，对人的管理是分层的。 从地域上的国家、省市到区域，从企业的大部门到小部门，从总经理到小职员，所有的管理都是分层的。“人类的层次划分是社会活动的自然产物”，忘了这句话是 谁说的了，但是我们观察自己的周围环境，树状结构的分层无处不在，这也是LDAP为什么在人员管理上这么流行的原因，也是LDAP最初设计的需求。当然， 在这里我们不讨论人类社会活动现象，只讨论LDAP技术问题。

LDAP在存储树状结构的数据比关系型数据库有很大的优势。请试图想想在关系数据库中要实现这种树状的数据，需要费一番功夫，并且要定位层次比较深 的节点的数据需要经过复杂的查询和转换。但是LDAP这种树状的结构也有一个重要的缺点，就是很难反映出除了结构层次之外的其他关系（例如在同一个组织之 下的管理和被管理的关系），而且当组织结构经常发生变化的情况下，树状结构很难满足这种灵活性的要求。有树状结构特点决定，当一个组织变化的时候，这个组 织下的所有节点都需要一一变化。

因此，在LDAP中出现了Group（组）和Role（角色）来动态的管理节点之间的关系。例如，建立一个“管理员”的组或角色，然后可以将不同组 织结构下的人员放到“管理员”这个逻辑结构下。那么通过“管理员”这个虚拟的组织结构