LDAP 技术文档总结.doc

LDAP 技术文档总结（本文档由廖武锋总结） 一 LDAP有关技术介绍 1 X500目录服务 ?OSL X.500目录是基于OSI网络协议的目录服务协议，也是LDAP的前身。但是X。500的缺点是不支持TCP/IP，而是支持OSI协议，显然，在 Windows等个人电脑上不可以使用OSI协议，在此前提下，也就产生了访问X500目录的网关--LDAP。 2 什么是LDAP？ LDAP的英文全称是Lightweight?Directory?Access?Protocol，一般都简称为LDAP。它是基于X.500标准的，但是简单多了并且可以根据需要定制。与X.500不同，LDAP支持TCP/IP，这对访问Internet是必须的。LDAP的核心规范在RFC中都有定义，所有与LDAP相关的RFC都可以在LDAPman?RFC网页中找到。现在LDAP技术不仅发展得很快而且也是激动人心的。在企业范围内实现LDAP可以让运行在几乎所有计算机平台上的所有的应用程序从LDAP目录中获取信息。LDAP目录中可以存储各种类型的数据：电子邮件地址、邮件路由信息、人力资源数据、公用密匙、联系人列表，等等。通过把LDAP目录作为系统集成中的一个重要环节，可以简化员工在企业内部查询信息的步骤，甚至连主要的数据源都可以放在任何地方。 3 Active Directory 活动目录 Active Directory (AD)是微软为.net中的对象访问定义的目录服务，包括目录服务本身，以及客户端API（ADSI）。Ad并不是LDAP在.net中的实现，而是 X500在.net中的实现，但AD前端支持并主要以LDAP形式进行访问。完整地说，AD是基于微软自身定义的X500扩展的一系列Schema实现的 X500目录服务及相关的访问控制工具的集合，其前端支持LDAP的查询，目的是对.net中涉及的所有网络对象提供目录服务。各个schema在一个树森林中是唯一的。????????普通的LDAP客户端工具与AD并不兼容。WINDOWS2000自带有一些LDAP客户端工具，包括ldifde.exe， ldp.exe。并提供专门的LDAP程序接口ASDI。同时，可以在WINDOWS管理台上添加AD管理snap-in，配合已有的AD基本管理工作。使用以上工具可以得到微软样式的详情，但总的来说，WINDOWS2000原则上不鼓励用户在AD的基础上进一步的开发，没有开发更多的资料。????????WINDOWS2000中，访问AD记录的API被集成到了内核，服务于WINDOWS2000从主机权限和对象管理，直接网络的权限和对象管理，同时API细节没有对外公开。因此，某种程度上，AD是一个只对WINDOWS2000有用的目录服务，AD连同访问API，形成一个基于 X500-LDAP的孤岛，从一开始就没有打算与其他厂商产品有兼容的余地，这也是微软的一贯风格。参考：????/windows2000/en/server/help/default.asp?url=/windows2000/en/server/help/sag_ADschema_Intro.htm牋牋p:/library/default.asp?url=/library/en-us/netdir/ad/schema_implementation.asp牋牋牋牋ADsdn.在WINDOWS2000中注册表中的位置是：HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NTDS\????????使用AD时，用户可以自行在微软样式的基础上添加新的类和属性，微软称这个就是schema的增添，这与UNIX环境下有一些不同，用户余地较少。如果真的需要添加，可以使用按：/windows2000/techinfo/planning/activedirectory/adschemasteps.asp的指示一步步做，也可以预先做好ldif文件，使用ldifde.exe一次性地进行添加，效果是一样的。 ????????在默认的状况下，WINDOWS2000的AD初始具备三个上下文对象：????????dc=domainname; 微软定义domainname必须是格式，即dc=example,dc=com;????????cn=Configuration,dc=example,dc=com; 这一条目和上下文存储设置信息；cn=schema,cn=configuration,dc=example,dc=com; LDAP目录服务的优势 如果需要开发一种提供公共信息查询的系统一般的设计方法可能是采用基于WEB的数据库设计方式，即前端使用浏览器而后端使用WEB服务器加上关