LDAP中文學習手冊

1、LDAP使用手冊1、 LDA階紹LDAP 是輕量級目錄訪問協(xié)議的簡稱(LightweightDirectoryAccessProtocol).用于訪問目錄服務。它是X.500 目錄訪問協(xié)議的移植，但是簡化了實現(xiàn)方法。2、 目錄服務與關系數(shù)據(jù)庫之間的區(qū)別a) 目錄查詢操作比關系數(shù)據(jù)庫有更高的效率，但是更新效率比關系數(shù)據(jù)庫低b) 目錄不支持關系數(shù)據(jù)庫那樣的復雜查詢，比如兩個表的連接。c) 目錄不支持多操作的事物完整性，沒有方式確認一些操作是全部成功還是全部失敗d) 目錄能夠能好和更靈活的支持子查詢和匹配查詢e) 目錄協(xié)議更適合應用于廣域網，比如因特網或者大型公司的網絡f) 目錄的管理，配置，和調試

2、比關系型數(shù)據(jù)庫更簡單g) 在使用關系數(shù)據(jù)庫之前，必須首先定義表結構( 模式 )才可以進行操作。而目錄中所使用的模式是由LDAP定義好的一系列類組成的。對于目錄中的每條記錄中必須屬于其中的一個類或者多個類。這些類定義了該記錄中可以存儲的信息。h) 目錄以對象的形式存儲數(shù)據(jù)。信息被組織成樹型結構。i) 目錄服務支持分布式存儲結構，容易實現(xiàn)數(shù)據(jù)的擴展，能滿足大容量存儲的要求。3、 LDAP 的優(yōu)點1: 可以存儲在其它條件下很難存儲的管理信息2: 數(shù)據(jù)安全可靠，訪問控制粒度細膩。3:LDAP是一個標準的，開放的協(xié)議，具有平臺無關性4: 數(shù)據(jù)分布廣，規(guī)模可靈活擴充。5:LDAP目錄服務器可以使任何一種開

3、放源代碼或商用的LDAP目錄服務器。4、 LDA睢型LDAP模型是從X.500協(xié)議中繼承過來的。是LDAP的一個組成部分，用于指導客戶如何使用目錄服務LDAP定義了四個模型，包括信息模型，命名模型，功能模型，安全模型。1 .LDAP 信息模型(LDAPinformationmodel)LDAP信息模型用于描述LDAP中信息的表達方式。LDAP信息模型包含三部分 EntriesAttributesValues( 條目屬性值)Entry :Directry 中最基本的信息單元，Entry 中所包含的信息描述了現(xiàn)實世界中的一個真實的對象，在目錄系統(tǒng)中它可以理解為，目錄樹中的一個節(jié)點。在目錄中添加一個

4、Entry 時，該 Entry 必須屬于一個或多個 objectclass , 每一個 objectclass 規(guī)定了該Entry 中必須要包含的屬性，以及允許使用的屬性。Entry 所屬的類型由屬性objectclass 規(guī) 定 。 每 一 個 Entry 都 有 一 個DN( distinguishedname) 用于唯一的標志Entry 在 directory 中的位置。如下圖所示：根節(jié)點DN的命名有多種方法，其中之一就是域名命名法。例如：我們要以公司 的網址作為公司目錄樹的根節(jié)點。如 那么根節(jié)點的 DN應該為DN:dc=sohu, dc=com上圖中根節(jié)點的DN： dc=example

5、,dc=com 而該根節(jié)點有兩個子節(jié)點， ou=people ，和 ou=servers 。People 節(jié)點的DN： ou=People,dc=example,dc=comRDN: 是 目 錄 樹 中 節(jié) 點 的 相 對 分 辨 名 。 如 ： People 節(jié) 點 的 DN:ou=People,dc=example,dc=com 而 該 節(jié) 點 的RDN：ou=PeopleAttribute : 每個 Entry 都是由許多Attribute 組成的。 每一個屬性(Attribute)描述的是對象的一個特征。每一個屬性(Attribute) 由一個類型(type)和一個或多個值組成(Val

6、ue)如下圖所示：2.LDAP命名模型(LDAPNamingModel)LDAP#名模型定義了如何在目錄系統(tǒng)中組織數(shù)據(jù)以及如何從目錄系統(tǒng)中查找數(shù)據(jù)LDAPe名模型指定將Entry按類似倒立的樹形結構進行規(guī)劃。非常類似于UNIX系統(tǒng)得文件系統(tǒng)如下圖所示：UnixFileSystemADirectoryTreeLDAP目錄結構與Unix系統(tǒng)的文件系統(tǒng)主要有三點不同1 . UNIX文件系統(tǒng)有一個根路徑，作為訪問所有文件和目錄的入口。而 LDAP 目錄結構中的rootEntry 只是一個特殊的Entry ，它包含了目錄服務器的配置信息，通常情況下，并不用來存儲信息2 .在LDAP目錄中任何一個節(jié)點都可

7、以包含信息，同時也可以是一個容器， 也就是說任何一個 LDAPEntry都可以有子節(jié)點。而 UNIX文件系統(tǒng)中的節(jié) 點要么是一個文件，要么是一個目錄。而不能同時是這兩種情況。只有目錄才可以擁有子節(jié)點。下圖表示了LDAW一個典型的目錄結構LDAPDirectory3. UNIX文件系統(tǒng)目錄結構與 LDAP目錄的第三個區(qū)別在于他們的每一個節(jié)點的命名不同。LDAP目錄中節(jié)點的命名和 UNIX文件系統(tǒng)目錄結構中的節(jié)點的命名是相反的。上圖示UNIX文件系統(tǒng)結構，如果要定位到grep節(jié)點的話，命名如下/user/bin/grep上圖是一個典型的目錄結構第一個節(jié)點 DN命名為：dn: dc=example,

8、dc=com第二個節(jié)點 DN命名為：dn: ou=People, dc=example,dc=com第三個節(jié)點 DN命名為： dn: uid=bjensen ,ou=people , dc=example,dc=com我們說每一個Entry的DN是唯一的，就是因為這種數(shù)形結構決定了，從根節(jié)點到其它任何一個節(jié)點的路徑是唯一的。RDN ： 在 DN 中 最 左 邊 的 內 容 稱 為 相 對 域 名 。 如ou=People , dc=example,dc=com其 RDNfe ou=People對于共享同一個父節(jié)點的所有節(jié)點的RDN、須是唯一的。如果不屬于同一個節(jié)點則節(jié)點的RDN可以相同。特殊字

9、符：以下字符如果出現(xiàn)在Entry 中的屬性值，必須進行轉義> #，+“”> <> >如： o=UnitedWidgets,Ltd.,c=GB別名在LDAP中可以定義一個別名Entry ,指向另外一個Entry。如下圖所示如何創(chuàng)建別名Entry要創(chuàng)建別名Entry ，該 Entry 的 objectclass 必須是 alias 。而且其屬性aliasedObjectName 的值必須是該Entry 所指向的Entry 的 DN 。不過一般情況下應該避免使用別名Entry 。會影響性能。而且如果被引用的Entry 被刪除的話，該Entry 就會指向一個錯誤的結果。L

10、DAPURL由于使用AliasEntry 有許多缺點，可以使用LDAPURL 或 referral 代替AliasEntry 。3.LDAP 功能模型(LDAPFunctionalModel)LDAP功能模型描述了 LDA附議可以采用的相關操作，來訪問存儲在目錄樹中的 數(shù)據(jù)。LDAP功能模型包含一系列的操作，這些操作被分為三組。1. 更新操作包括添加，刪除，重命名，修改Entry2. InterrogationOperation 用于數(shù)據(jù)的查詢3. 認證和控制(bindunbindabandon)InterrogationOperation1. TheLDAPSearchOperation該操

11、作需要八個參數(shù)a. baseobject也可以表示為DN表明你想要查詢direcoty 中樹的頂點。b. searchscopeDN與searchscope兩個參數(shù)限定了要搜索數(shù)據(jù)的范圍共有三個范圍scopeSub 搜索范圍是包含頂節(jié)點在內的一棵子樹如下圖其中DN=” ou=People,dc=example,dc=com ”Base 搜索范圍只包含一個節(jié)點如下圖其中DN=” ou=People,dc=example,dc=com ”O(jiān)nelevel其搜索范圍是DN所表示的節(jié)點下的直接子節(jié)點。如下圖其中DN=” ou=People,dc=example,dc=com ”c. aliasd. s

12、izelimit表示返回的符合條件的Entry 的數(shù)目，0 表示返回所有符合條件的Entry 。目錄服務器端返回一個LDAP_SIZELIMIT_EXCEEDED 。e. timelimit表示搜索一次所需要的時間，超過時間將停止搜索。服務器端返回一個LDAP_TIMELIMIT_EXCEEDEDf. attribute-only該屬性是一個boolean 值，如果為true ，表示服務器端之返回所搜索的 Entry 的屬性名稱，不返回屬性值。g. filter通過該屬性可以更精確的搜索結果。就像SQL語句中的條件查詢。Filter 分類1. (sn=smith) 匹配屬性sn 的值包含smi

13、th 的 Entry2(sn=smith*) 匹配屬性sn 的值以 smith 開始的所有Entry 如smithers ， smithsonain 等。其中“* ”表示通配符，代表任意字符。3(sn=jensen) 匹配屬性sn 的值聽起來像jensen 的 Entry 。 不同的目錄服務器，有不同的實現(xiàn)方法。4(age>21) 或者 (!(age<=21) 匹配屬性age 的值大于21 的Entry如果是字符的話，如(sn<=Smith) 則按字典順序進行比較。5(telephoneNumber=*) 匹配所有屬性telephoneNumber 的值不為空的Entry6(

14、&(sn=smith)(age>21) 匹配 屬性 sn 的值包含smith 而且屬性age 的值大于21 的Entry(|(sn=smith)(age>21)匹配屬性sn 的值包含smith 或者屬性age 的值大于21 的Entry(&(mail=*)(!(telephoneNumber=*)匹配屬性mail 的值不為空，而且屬性telephoneNumber 為空的 Entry7 如果屬性的值包含以下五個特殊字符的話必須進行轉義如： (cn=A*Star) 則必須改為(cn=A2AStar)h. returnattributes該屬性表示客戶的搜索結果中需要返

15、回的和用戶相關的屬性列表，如果為空表示返回所有屬性。4.LDAP安全模型安全模型的作用：是提供一個框架，保護目錄中的信息不被非法訪問。LDAP中的安全模型主要通過身份認證、安全通道和訪問控制 （ACL）來實現(xiàn)LDAP是一個面向連接的協(xié)議，在能夠對 LDAP目錄進行任何操作之前，LDAP 客戶端必須獲得一個到 LDAP服務端的一個連接，在這個過程中需要對 LDAP 客戶端的身份進行驗證，這一過程可以理解為用戶綁定。LDAPV2H支持簡單的密碼驗證。LDAPV映現(xiàn)了 SASL安全框架，SASL為多種驗證協(xié)議提供了一種標準的驗證 方法，對于不同的驗證系統(tǒng)， 可以實現(xiàn)特定的SASL機制。SASL機制代

16、表了一 種驗證協(xié)議。在用戶通過驗證之后，可以為該用戶分配附加的權限，比如一些用戶只能查看特定的Entry ，而不能修改。一些用戶可以查看并且修改所有的Entry 等。這一過程可以理解為訪問控制。5、 LDIFLDIF 通過一個文本文件，用來描述目錄數(shù)據(jù)，可以將目錄服務器中的數(shù)據(jù)導出到一個 LDIF 文件中，并且可以將LDIF 文件中的數(shù)據(jù)導入到另一個目錄服務器。即使這兩個目錄服務器內部使用的是不同的數(shù)據(jù)庫格式。有兩種類型的LDIF 文件，第一種用來描述Directory 目錄數(shù)據(jù)的，第二種包含更新語句，用于更新現(xiàn)有的Directory 條目數(shù)據(jù)。第一種文件，內容包含兩部分：第一部分是DN第二部

17、分是一系列的屬性-值對如下圖：以上的 LDIF 文件只包含了一個DirectoryEntry 。 可以在一個LDIF 文件中包含多個 Entry第二種文件，包含更新語句。第一行同樣是 DN第二行是更新類型，后邊是要更新的屬性及值。當然也可以用來添加新的當然也可以用來添加新的Entry 。如下圖：添加一條Entry ( 注意第二行: changetype ： add)如下圖：刪除一條Entry如下圖：修改一條Entry語法如下：dn:dnofentrytobemodifiedchangetype:modifymodifytype:attributetypeattributetype:attrib

18、utevalue添加屬性示例刪除屬性示例或者修改屬性值也可以將多條更新語句放在一個文件里，各語句之間用“-”分開重新命名Entry 或移動 Entry語法：dn: Entry 的DN名稱changetype:moddn /changetype類型必須為m o d d nnewsuperior:如果要移動一條E n t r y則該項表示一個新的節(jié)點的DNdeleteoldrdn:(0|1)該項表示是否要刪除修改以前的r dn。不刪除newrdn: En t r y 的新RDN 由于一條Entry的DN是由該Entry的RDNff口它的父節(jié)點的 DN組成的。一條Entry的RDNi% Entry中

19、的一個屬性。就像關系數(shù)據(jù)庫中，主鍵值可以唯一區(qū)區(qū)分一條記錄一樣，在同一個節(jié)點下的所有 Entry中的RDN5須由唯一標識該Entry屬性組成。所以重新命名Entry ，也就是重新命名該Entry 的RDN。示例如下：執(zhí)行以上語句后該E n t r y如下所示：dn:uid=babsj,ou=People,dc=example,dc=comuid:babsjuid:bjensen移動一條E n t r y示例如下：6、 LDA睢式（schema）如果你使用過關系型數(shù)據(jù)庫，那么對模式應該不會陌生。關系數(shù)據(jù)庫系統(tǒng)都是通過表格的形式進行數(shù)據(jù)存儲的。在這之前，我們首先要定義表結構，也即是模式。表結構由一

20、些字段組成，每個字段都有一個類型，以及一些約束條件。這就規(guī)定了我們可以存儲的信息。上面我們介紹過LDAP 目錄服務器中存儲的信息是被組織成樹型結構進行存儲的。和存儲信息之前也要定義模式，不過，與關系型數(shù)據(jù)庫系統(tǒng)不同的是，作為LDAP目錄服務器的用戶而言，一般不需要自己定義模式，所有實現(xiàn)LDAPW議的目錄服務器，都已經定義好了許多模式，這些模式可以解決我們大部分的信息存儲的問題。LDA限式是由以下一些元素組成的1： Attributetypes 屬性類型，也就是屬性名稱。我們已經介紹過，每個屬性名稱其實也代表著一種屬性類型。表示該屬性可以存儲什么樣的信息。2： Attributesyntaxes

21、 屬性語法，該元素表示每個屬性名稱所存儲的信息如何組織。3：匹配規(guī)則，每一個屬性都有匹配規(guī)則，用于數(shù)據(jù)的比較。4： objectclasses ，對象類. 上面已經介紹過，每個Entry 都必須至少屬于一F面介紹一下LDAPW議中定義的一些常用屬性極其含義（具體信息看RFC2252文檔）屬性中文名稱描述c國家名稱值為兩位國家代碼如：中國：CN美國：UScn通用名稱dc域名組件如：dc=sohu,dc=comco國家名稱國家的全名gngavenNamehomephone豕庭電話t碼mail郵件地址mobile移動電話勺碼o組織名稱ou部門名稱通常為組織機構下的個部門或者一個大型實體下的一個子實體

22、postalCode郵政編碼sn姓，別名st州或者省的名稱street街道地址userPassword用戶密碼uid用戶IDdepartmentNumber部門編號displayName顯示名稱description描述employeeNumber員工編號manager經理F面是一些LDAPW議中定義的objectclass （具體信息查看 RFC2252文檔）Objectclass必須屬性可選屬性accountuseriddescription$seeAlso$localit yName$organizationName$ organizationalUnitName$ho stcountr

23、ycsearchGuide$descriptiondcObjectdcdevicecnserialNumber$seeAlso$owner$ou$o$l$descriptioninetOrgPerson->audio$businessCategory$c arLicense$departmentNum ber$displayName$employeperson繼承personeNumber$employeeType$gi venName$homePhone$ho mePostalAddress$initials$j pegPhoto$labeledURI$mail $manager$mo

24、bile$o$pager $photo$roomNumber$secr etary$uid$userCertificate$x 500uniqueIdentifier$prefer redLanguage$userSMIMEC ertificate$userPKCS12organizationalPerson 繼承Persontitle$x121Address$register edAddress$destinationIndic ator$preferredDeliveryMeth od$telexNumber$teletexTer minalIdentifier$telephoneN um

25、ber$internationaliSDNN umber$facsimileTelephone Number$street$postOfficeB ox$postalCode$postalAddr ess$physicalDeliveryOffice Name$ou$st$lorganizationouserPassword$searchGuide $seeAlso$businessCategory $x121Address$registeredA ddress$destinationIndicato r$preferredDeliveryMethod $telexNumber$teletex

26、Term inalIdentifier$telephoneNu mber$internationaliSDNNu mber$facsimileTelephoneN umber$street$postOfficeBo x$postalCode$postalAddres s$physicalDeliveryOfficeNa me$st$l$descriptionorganizationalRolecnx121Address$registeredAd dress$destinationIndicator $preferredDeliveryMethod$ telexNumber$teletexTer

27、min alIdentifier$telephoneNum ber$internationaliSDNNum ber$facsimileTelephoneNu mber$seeAlso$roleOccupan t$preferredDeliveryMethod $street$postOfficeBox$post alCode$postalAddress$physicalDeliveryOfficeName$o u$st$l$descriptionorganizationalUnitouuserPassword$searchGuide $seeAlso$businessCategory $x1

28、21Address$registeredA ddress$destinationIndicato r$preferredDeliveryMethod $telexNumber$teletexTerm inalIdentifier$telephoneNu mber$internationaliSDNNu mber$facsimileTelephoneN umber$street$postOfficeBo x$postalCode$postalAddres s$physicalDeliveryOfficeNa me$st$l$descriptionpersoncnsnuserPassword$te

29、lephoneNumber$seeAlso$descriptionTop（所有類的基類）7、 常用目錄服務器1:Apachedirectoryserver2:Sundirectoryserver3:openDS 一個開源的，基于 LDAP 和 DSML 標準的 Directoryservice 。 Directoryservice不僅包括 Directoryserver , 還有其它與 directory 相關的基本 service : directoryproxy、virtualdirctory 、namespacedistribution 和數(shù)據(jù)同步 Directoryserver 是 個

30、可以通過網絡訪問，信息分級存儲的數(shù)據(jù)庫。OpenDSR能用在linux操作系統(tǒng)。該項目的地址為：4:NetscapeDirectoryServer5:WindowAD8、 Apachedirectoryserver安裝與使用1:下載ApacheDS地址為:2:ApacheDS的安裝比較簡單，沒有什么特殊的設置。在ApacheDS安裝完成后要啟動 ApacheDS 服 務 。 路 徑 如 下 ： 控 制 面 板 - 管 理 工 具 - 服 務 -ApacheDirectoryserverApacheDS的監(jiān)聽端口默認為 103893:安裝Apachedirectorystudio 。下載地址同上

31、。該軟件是ApacheDS的一個客戶端 工具。用于連接ApacheDS搜索，更新，刪除，添加數(shù)據(jù)。安裝時也沒有特別 設置，請按默認設置安裝該軟件。4:使用 Apachedirectorystudio 連接 ApacheDS步驟如下：第一步：在菜單欄中選擇 LDAP菜單下的NewConnection選項 第二步：在下面的對話框中輸入相應的值。第三步：在一下對話框中輸入要連接的根DN和密碼。在ApacheDS安裝完成后，已經創(chuàng)建了幾個DIT （目錄信息樹）,第一次登錄 ApacheDS的話一般會連接如下 輸入的根節(jié)點的DN 密碼為：secret 。當然可以在第一個選項框中選擇NoAuthentic

32、ation 。 這是不需要輸入下面的驗證信息。這種登錄術語匿名登錄。權限受限制。第四步 。連接完成后，如下圖：圖中出現(xiàn)了apahceDS 安裝默認創(chuàng)建的三個目錄信息樹第五步：創(chuàng)建Partition 。ApacheDS中的目錄信息是保存在 Partition 中的。所以 在創(chuàng)建新的目錄樹之前首先要創(chuàng)建Partition 。創(chuàng)建 Partition 的一個方法是修 改 server.xml 配 置 文 件 。 該 文 件 路 徑 如 下 ： C:ProgramFilesApacheDirectoryServerinstancesdefaultconf在該文件中找到Partitions 元素。添加&

33、lt;jdbmPartition> 元素。第 六 步 ： 創(chuàng) 建 完 成 之 后 ， 重 啟 Apachedirecoryserver 服 務Apachedirectorystudio 視圖中看到結果如下，在右側欄中我們可以看到我們剛剛添加的 Partition0但是在左側欄中，我們并沒有看到該目錄分支存在。因為，必須要創(chuàng)建一個ContextEntry 。第七步：創(chuàng)建 ContextEntry二I % EIT 由（ZJIELoot 加比a+ J dc=ex* 是 au=£c+ 最 ou=sy+/ Seo-che sOpen. IntryOptn WithH Open. Iitt

34、iry i n. DITt!k s如啕IfnF4AttriDuta Btscripti onf New Cont ext Entry .N名w Eftsr eh.If Hew Boalnnark .Ctrl+M九、LDAP應用場景使用JNDI操作目錄服務1 .準備連接目錄服務器的相應配置文件（以ApacheDS為例）pertiesldap : /localhost:10389/dc=example,dc=comsimpleuid=liujz,dc=example,dc=com1234562 .創(chuàng)建測試類publicclassLDAPTest privatestatic

35、DirContext ctx =null;private Properties ldapProps ;public LDAPTest(PropertiesldapProp)This . ldapProp =ldapProp;public DirContextgetDirContext()If (ctx= null )ctx=newInitialDirContext(ldapProps); returnctx;/從LDAP服務器中查詢符合條件的Entrypublicvoid queryEntry() SearchControlssc= new SearchControls();/ 用于設置查詢范

36、圍/ 有三種查詢范圍SUBTREE_SCOPE示在以指定對象為根的子樹中查找，可以返回多個元素ONLEVEL_SCOPE指定對象極其直接子實體OBJECT_SCOPE示返回指定對象。sc.setSearchScope(SearchControls.SUBTREE_SCO);PE/該方法有單個參數(shù)，第一個參數(shù)是DN是一種相對的，因為根據(jù)配置文件，我們已經連接到根DN為dc=example, dc=com的目錄樹上，所以一下方法查詢的Entry 的 DN 為ou=Account， dc=example，dc=como第二個參數(shù)是過濾器，相當于 SQL中的where子句。第三個參數(shù)為查詢控制Stri

37、ngdn= “ ou=Account ” ;Stringfilter= “ ou=Account ” ;NamingEnumerationresult=getDirContext().search(dn,filter,sc);While (result.hasMore()SearchResultentry=(SearchResult)result.next();Attributesattrs=entry.getAttributes();Attributeattr=attrs.get( “ ou= ” +attr.get();ou ” );/向LDAP服務器中添加EntryPublicvoid

38、addEntry()/ 在 ou=account cn=liujianzhongAttributesattrs=dc=example ， dc=com 節(jié) 點 下 添 加 一 個 子 節(jié) 點 。 其 RDN 為new BasicAttributes();attrs.put( attrs.put( attrs.put(cn ” ,sn ” ,” liujianzhong”liu ”);userpassword”);BasicAttributeobjectClassSet= objectClassSet.add(“objectClassSet.add(“objectClassSet.add(“ob

39、jectClassSet.add(“attrs.put(objectClassSet); ctx.createSubContext(” 123456 ” );new BasicAtrribute(top ” ):person ” );organizationalPersoninetOrgPerson”);”);cn=liujianzhong,ou=Accountobjectclass” ,attrs);” );/刪除LDAP目錄服務器中指定的 Entry，如果該節(jié)點為葉子節(jié)點則直接刪除，否則要先得到該節(jié)點下的所有葉子節(jié)點，然后從最底層的葉子節(jié)點刪除，直到刪除所有葉子節(jié)點為止Publicvoid delEntry()/ 刪除葉子節(jié)點StringDN= “ cn=liujianzhong,ou=Account” ;getDirCont