TNQ400-04.pptVIP

理解本讲座所需必要条件 关于目录概念的基础知识 本讲座的难度水平为300 今天将要学到的内容 LDAP基本原理 端口、参考资料、控制、RootDSE及管理查询策略等 帮助进行故障诊断并管理活动目录的LDAP工具 如何捕捉并解释各种LDAP错误 今天不予讲授的内容 Microsoft?活动目录 ADSI 名字解析技术 计划管理工具 如何对LDAP客户进行编程 何谓目录服务 一种在分布式环境中发现目标的方法 目录包括两个主要组成部分： 数据库 规划—用来描述数据 分布式存在 协议 访问数据 处理数据 目录服务与数据库 二者有许多共同点 均允许对存储数据进行访问 目录服务 ? 数据库 目录主要用于读取 目录不适于进行频繁的更新 本质上属于典型的分布式结构 何谓LDAP 一种目录服务协议 LDAPv2 – RFC 1777 ? 1995年3月 LDAPv3 – RFC 2251 ? 1997年12月 LDAP在四个方面有过人之处： 特性 标准 – IETF标准 实现工具 应用程序编程接口（API） LDAP简化了X.500 90%的功能，10%的成本！ 传输 LDAP直接运行于IP之上：TCP或UDP 功能 通过排除低级使用特性来简化X.500的功能 数据表示法 LDAP使用简单的字符串格式 编码 LDAP使用简化的编码规则 LDAP的模式 信息模式 描述信息结构 命名模式 信息的组织和调用的方式 功能模式 信息的用途 安全模式 如何保护信息 信息模式 源于X.500 用于创建企业级目录的ISO/CCITT (ITU) 技术规范 目录信息树 – DIT 由一或多个LDAP服务器提供的访问 由若干条目构成 DSA – 目录服务器代理 信息模式什么是规划？ 模板 / DIT的蓝图 类 抽象类 – 结构类的模板 结构类 – 在DSA中拥有实例 辅助类 – 如同一个内建的属性文件 88类 – 在1993年版的X.500标准之前即已被定义 属性 对象保有信息的类型 语法 为属性决定数据类型 信息模式 条目（容器或叶结点） 源自结构类 MSFT将条目视为对象 条目所包含的属性（通常被MSFT称为属性） 容器和叶结点均拥有属性 属性值 – 单值或多值 信息模式 GUID – 128位的全局唯一标识符 在时间和空间上都是独一无二的 OID – 对象标识符 标识一个类或属性 1.2.840 - USA 1.2.840.113556 – MSFT OID 1.2.840.113556.1 – MSFT DS 1.2.840.113556.1.5 – NTDS类 类型 – 语法 RFC 2252 – LDAPv3属性语法定义 用OID来定义 举例 – DN、二进制数、数字串、UTC时间 条目（对象）剖析 演示1：剖析条目 命名模式相对识别名称（RDN） 在容器中是唯一的 rdn :== rdncomp | rdncomp rdnsep rdn rdnsep :== ‘+’ rdncomp :== attr ‘=‘ value attr :== 一个LDAP属性类型(cn, dc, …) value :== 一个LDAP属性值 举例 cn=rthom dc=microsoft ou=pss 命名模式识别名称（DN） RFC 1779 识别名称的字串表示法 dn :== rdn | rdn dnsep dn dnsep :== ‘,’ | ‘:’ 条目在DIT范围内根据其DN进行组织安排 类似于文件系统中具有完整路径的文件名 举例 cn=rthom,ou=pss,dc=microsoft,dc=com 演示2：RDN与DN 讨论 功能模式 认证：打开、绑定、拆分 询问：搜索/比较 更新：添加、删除、修改、修改RDN 功能模式认证 打开 打开一个通往DSA的连接 绑定 将客户认证至DSA 认证方法 – LDAPv3 拆分 终结用户/服务器会话 演示3：LDAP的打开、绑定（认证）和拆分 功能模式·询问 搜索 从DIT中选择条目 为每个条目返回特定属性 参数 基本对象 范围 搜索过滤器 属性 比较 判定一个条目是否包含具有特定值的给定属性 布尔型返回值 功能模式·询问搜索组件 功能模式·询问搜索 – 基本对象 定义搜索起始点的DN DIT中的一个结点 举例： dc=mydomain,dc=com ou=demo,dc=mydomain,dc=com 功能模式询问搜索 – 范围 功能模式·询问搜索 – 范围 基本 LDAP_SCOPE_BASE 仅包括基本条目 一级 LDAP_SCOPE_ONELEVEL 在基本对象下的第一级条目 不搜索基本对象 子树 LDAP_SCOPE_SUBTREE 基本条目和基本条目下子树中的所有条目 演示4：