利用LDAP实现Web应用身份验证.pdfVIP

信息安全 ·191· 利用LDAP实现Web应用的身份验证… 吕建友 中国原子能科学研究院网络中心主任 102413 一、引言 目前，在网络化的服务市场上，UNIX系统以其安全、稳定的特性占据了大部分的高级 服务器市场；而微软的Wmdows则以其操作方便、易于管理的优势抢占小型应用的服务器领 管理员对用户授权访问许可，它也可以允许或者拒绝应用程序对数据的访问．；微软的Wmdows 用户管理和认证则多集成于AD(Active 系统的企业，、就面临着实现跨平台的用户集中授权管理的问题。另一方面，。下面我们将通过 开发模块以使用LDAP．服务来解决Web应用的身份认证问题。 二：LDAP目录服务简介 Acess LDAP(LightweightDirectory X．500的目录协议的移植和简化了的实现，故称之为轻量级的目录服务。与关系数据库不同， 务器都为读密集型的操作进行专门的优化。因此，当从LDAP服务器中读取数据的时候会比 从专门为OLTP优化的关系型数据库中读取数据快一个数量级。 “Distinguished 最早一般按照地理位置和组织关系进行组织的，如o=IBM，Inc．表示组织名，‘在这里就是公 理位置和组织关系进行组织很容易让人产生混淆，目前都以DNS域名为基础，用公司的域名 作为基准DN，如DNo=ibm．com这种格式很直观。 classes)的概念来定义运行哪一类的对象使用什么属性。 LDAP目录用对象类型(object 你可以用LDAP存储各种类型的数据对象，只要这些对象可以用属性来表示，因为LDAP目 录可以定制成存储任何文本或二进制数据，到底存什么要由你自己决定。在几乎所有的LDAP 服务器中，你都要根据自己的需要扩展基本的LDAP目录的功能，创建新的对象类型或者扩 展现存的对象类型。 其中person对象类型要求cn(common 对象类型允许有其他的可选，包括givenname、telephonenumber，等等。 ·192· 网络新技术与应用研讨会论文集(2003年) 下面就是LDAP中的一个条目的主要内容(其中的用户口令是加密的)： dn：uid=lj y’ou=People，o=ac．cn objectclass：top objectclass：person givenname：lv cnIvjero snjero 1 10 telephonenumber：8 uid：ljy I+N9H3t8= userpassword：{SHA}lflclmPjWhxGeQBc3XB mail：ljy@iris．ciae．a．ca 三、对LDAP目录服务的认证应用开发 Netscape的Directory 上下载。然后利用DirectorySDK所提供的功能函数，就可以实现用户的集中管理和认证。下 for SDKC为例进行说明基于www的用户认证功能的实现。 面就以Netscape的Directory for SDK 本例的核心是使用Directory AcfiveX 等函数的功能进行用户认证，而其关键技术是基于VC的WindowsCOM组件编程。 SDK 1．安装Netscape的Directory for