LDAP笔记.docVIP

LDAP简介 LDAP（轻量级目录访问协议，Lightweight Directory Access Protocol)是实现提供被称为目录服务的信息服务。目录服务是一种特殊的数据库系统，其专门针对读取，浏览和搜索操作进行了特定的优化。目录一般用来包含描述性的，基于属性的信息并支持精细复杂的过滤能力。目录一般不支持通用数据库针对大量更新操作操作需要的复杂的事务管理或回卷策略。而目录服务的更新则一般都非常简单。这种目录可以存储包括个人信息、web链结、jpeg图像等各种信息。为了访问存储在目录中的信息，就需要使用运行在TCP/IP之上的访问协议—LDAP。 LDAP最大的优势是：可以在任何计算机平台上，用很容易获得的而且数目不断增加的LDAP的客户端程序访问LDAP目录。而且也很容易定制应用程序为它加上LDAP的支持。LDAP协议是跨平台的和标准的协议，。LDAP服务器可以是任何一个开发源代码或商用的LDAP目录服务器（或者还可能是具有LDAP界面的关系型数据库），因为可以用同样的协议、客户端连接软件包和查询命令与LDAP服务器进行交互。大多数的LDAP服务器安装起来很简单，也容易维护和优化。 LDAP服务器可以用“推”或“拉”的方法复制部分或全部数据，例如：可以把数据“推”到远程的办公室，以增加数据的安全性。复制技术是内置在LDAP服务器中的而且很容易配置。如果要在DBMS中使用相同的复制功能，数据库产商就会要你支付额外的费用，而且也很难管理。 LDAP允许你根据需要使用ACI（一般都称为ACL或者访问控制列表）控制对数据读和写的权限。例如，设备管理员可以有权改变员工的工作地点和办公室号码，但是不允许改变记录中其它的域。ACI可以根据谁访问数据、访问什么数据、数据存在什么地方以及其它对数据进行访问控制。因为这些都是由LDAP目录服务器完成的，所以不用担心在客户端的应用程序上是否要进行安全检查。 LDAP对于这样存储这样的信息最为有用，也就是数据需要从不同的地点读取，但是不需要经常更新。例如，这些信息存储在LDAP目录中是十分有效的： 公司员工的电话号码簿和组织结构图 客户的联系信息 计算机管理需要的信息，包括NIS映射、email假名，等等 软件包的配置信息 公用证书和安全密匙 LDAP目录中的信息是是按照树型结构组织，具体信息存储在条目(entry)的数据结构中。条目相当于关系数据库中表的记录；条目是具有区别名DN（Distinguished Name）的属性（Attribute），DN是用来引用条目的，DN相当于关系数据库表中的关键字（Primary Key），用来读取单个记录，以及回溯到树的顶部。属性由类型（Type）和一个或多个值（Values）组成，相当于关系数据库中的字段（Field）由字段名和数据类型组成，只是为了方便检索的需要，LDAP中的Type可以有多个Value，而不是关系数据库中为降低数据的冗余性要求实现的各个域必须是不相关的。LDAP中条目的组织一般按照地理位置和组织关系进行组织，非常的直观。 在windows下部署和使用LDAP服务 安装SLAPD服务器 安装文件为openldap-2.2.29-db-4.3.29-openssl-0.9.8a-win32_Setup.exe，安装路径为C:\Program Files\OpenLDAP Slapd服务器启动文件在C:\Program Files\OpenLDAP\run下，数据文件在C:\Program Files\OpenLDAP\data中。 安装中注意要选择ldap作为NT service启动，在windows重启后ldap服务启动，在管理工具的本地服务中可找到OpenLdap的服务选项。 在cmd命令行下，使用netstat –an命令查看389端口是否Listen。 修改slapd服务器配置文件 服务器配置文件为C:\Program Files\OpenLDAP\slapd.conf，修改为如下： ucdata-path ./ucdata include ./schema/core.schema include ./schema/cosine.schema include ./schema/misc.schema include ./schema/inetorgperson.schema pidfile ./run/slapd.pid argsfile ./run/slapd.args database bdb suffix dc=MY-DOMAIN,dc=COM rootdn cn=Manager, dc=MY-DOMAIN,dc=COM rootpw secret directory ./data index obje