LDAP使用基础手册.doc

LDAP使用手册
一、 LDAP介绍
LDAP是轻量级目录访问协议简称(Lightweight Directory Access Protocol).用于访问目录服务。它是X.500目录访问协议移植，不过简化了实现方法。

二、 目录服务和关系数据库之间区分
a) 目录查询操作比关系数据库有更高效率，不过更新效率比关系数据库低
b) 目录不支持关系数据库那样复杂查询，比如两个表连接。
c) 目录不支持多操作事物完整性，没有方法确定部分操作是全部成功还是全部失败
d) 目录能够能好和更灵活支持子查询和匹配查询
e) 目录协议更适合应用于广域网，比如因特网或大型企业网络
f) 目录管理，配置，和调试比关系型数据库更简单
g) 在使用关系数据库之前，必需首先定义表结构(模式)才能够进行操作。而目录中所使用模式是由LDAP定义好一系列类组成。对于目录中每条统计中必需属于其中一个类或多个类。这些类定义了该统计中能够存放信息。
h) 目录以对象形式存放数据。信息被组织成树型结构。
i) 目录服务支持分布式存放结构，轻易实现数据扩展，能满足大容量存放要求。

三、 LDAP优点
1:能够存放在其它条件下极难存放管理信息
2:数据安全可靠，访问控制粒度细腻。
3:LDAP是一个标准，开放协议，含有平台无关性。
4:数据分布广，规模可灵活扩充。
5:LDAP目录服务器能够使任何一个开放源代码或商用LDAP目录服务器。
四、 LDAP模型
LDAP模型是从X.500协议中继承过来。是LDAP一个组成部分，用于指导用户怎样使用目录服务
LDAP 定义了四个模型，包含信息模型，命名模型，功效模型，安全模型。
1.LDAP 信息模型(LDAP information model)
LDAP信息模型用于描述LDAP中信息表示方法。
LDAP信息模型包含三部分 Entries Attributes Values
Entry:Directry中最基础信息单元，Entry中所包含信息描述了现实世界中一个真实对象，在目录系统中它能够了解为，目录树中一个节点 。在目录中添加一个Entry时，该Entry必需属于一个或多个object class ,每一个object class 要求了该Entry中必需要包含属性，和许可使用属性。Entry所属类型由属性objectclass要求。每一个Entry全部有一个DN(distinguished name) 用于唯一标志Entry在directory中位置。以下图所表示：

根节点DN命名有多个方法，其中之一就是域名命名法。比如：我们要以企业网址作为企业目录树根节点。如 那么根节点DN应该为 DN:dc=sohu，dc=com

上图中根节点DN ：dc=example,dc=com 而该根节点有两个子节点，ou=people，和ou=servers。
People节点DN：ou=People,dc=example,dc=com
RDN:是目录树中节点相对分辨名。如：People节点DN: ou=People,dc=example,dc=com 而该节点RDN：ou=People

Attribute: 每个Entry全部是由很多Attribute组成。每一个属性(Attribute)描述是对象一个特征。每一个属性(Attribute)由一个类型(type)和一个或多个值组成(Value) 以下图所表示：

2.LDAP命名模型(LDAP Naming Model)
LDAP命名模型定义了怎样在目录系统中组织数据和怎样从目录系统中查找数据
LDAP命名模型指定将Entry按类似倒立树形结构进行计划。很类似于UNIX系统得文件系统以下图所表示：
Unix File System

A Directory Tree

LDAP 目录结构和Unix系统文件系统关键有三点不一样
1. UNIX文件系统有一个根路径，作为访问全部文件和目录入口。而LDAP 目录结构中root Entry只是一个特殊Entry，它包含了目录服务器配置信息，通常情况下，并不用来存放信息
2. 在LDAP 目录中任何一个节点全部能够包含信息，同时也能够是一个容器，也就是说任何一个LDAP Entry全部能够有子节点。而UNIX文件系统中节点要么是一个文件，要么是一个目录。而不能同时是这两种情况。只有目录才能够拥有子节点。下图表示了LDAP 是一个经典目录结构
LDAP Directory

3. UNIX文件系统目录结构和LDAP 目录第三个区分在于她们每一个节点命名不一样。LDAP目录中节点命名和UNIX文件系统目录结构中节点命名是相反。

上图示UNIX 文件系统结构，假如要定位到grep节点话，命名以下
/user/bin/grep

上图是一个经典目录结构
第一个节点DN命名为：dn:dc=example,dc=com
第二个节点DN命名为：dn:ou=People,dc=example,dc=com
第三个节点DN命名为：dn:uid=bjensen,ou=people,dc=example,dc=com
我们说每一个EntryDN是唯一，就是因为这种数形结构决定了，从根节点到其它任何一个节点路径是唯一。
RDN：在DN中最左边内容称为相对域名。如ou=People,dc=example,dc=com
其RDN为ou=People
对于共享同一个父节点全部节点RDN必需是唯一。假如不属于同一个节点则节点RDN能够相同。

特殊字符：
以下字符假如出现在Entry中属性值，必需进行转义
# --------\#
，-------\，
+---------\+
“---------\”
\--------\\
< ----- \<
> ----- \>
; -------- \;
如：o=United Widgets\, Ltd., c=GB
别名
在LDAP中能够定义一部分名Entry，指向另外一个Entry。以下图所表示

怎样创建别名Entry
要创建别名Entry，该Entryobject class必需是alias。而且其属性aliasedObjectName值必需是该Entry所指向EntryDN。不过通常情况下应该避免使用别名Entry。会影响性能。而且假如被引用Entry被删除话，该Entry就会指向一个错误结果。
LDAP URL
因为使用Alias Entry有很多缺点，能够使用LDAP URL或referral替换Alias Entry。
3.LDAP功效模型(LDAP Functional Model)
LDAP功效模型描述了LDAP 协议能够采取相关操作，来访问存放在目录树中数据。
LDAP功效模型包含一系列操作，这些操作被分为三组。
1. 更新操作 包含添加，删除，重命名，修改Entry
2. Interrogation Operation 用于数据查询
3. 认证和控制 (bind unbind abandon)
Interrogation Operation
1. The LDAP Search Operation
该操作需要八个参数
a. base object
也能够表示为DN。表明你想要查询direcoty中树顶点。
b. search scope
DN 和search scope两个参数限定了要搜索数据范围
共有三个scope
Sub 搜索范围是包含顶节点在内一棵子树 以下图

其中DN =”ou=People,dc=example,dc=com”
Base 搜索范围只包含一个节点 以下图

其中DN =”ou=People,dc=example,dc=com”

Onelevel 其搜索范围是DN所表示节点下直接子节点。以下图

其中DN =”ou=People,dc=example,dc=com”

c. alias
d. size limit
表示返回符合条件Entry数目，0表示返回全部符合条件Entry。目录服务器端返回一个LDAP_SIZELIMIT_ EXCEEDED。
e. time limit
表示搜索一次所需要时间，超出时间将停止搜索。服务器端返回一个LDAP_TIMELIMIT_EXCEEDED
f. attribute-only
该属性是一个boolean值，假如为true ，表示服务器端之返回所搜索Entry属性名称，不返回属性值。
g. filter
经过该属性能够更正确搜索结果。就像SQL语句中条件查询。
Filter 分类
1.(sn=smith) 匹配属性sn值包含smithEntry
2 (sn=smith*) 匹配属性sn值以smith开始全部Entry 如smithers，smithsonain等。其中“*”表示通配符，代表任意字符。
3 (sn~=jensen) 匹配属性sn值听起来像jensen Entry。不一样目录服务器，有不一样实现方法。
4 (age>21)或(!(age<=21)) 匹配属性age值大于21Entry
假如是字符话，如(sn<=Smith)则按字典次序进行比较。
5 (telephoneNumber=*) 匹配全部属性telephoneNumber值不为空Entry
6 (&(sn=smith)(age>21))匹配属性sn值包含smith而且属性age值大于21Entry
(|(sn=smith)(age>21))匹配属性sn值包含smith或属性age值大于21Entry
(&(mail=*)(!(telephoneNumber=*)))匹配属性mail值不为空，而且属性telephoneNumber为空Entry
7 假如属性值包含以下五个特殊字符话必需进行转义
如：(cn=A*Star) 则必需改为(cn=A\2AStar)

h. return attributes
该属性表示用户搜索结果中需要返回和用户相关属性列表，假如为空表示返回全部属性。

4.LDAP 安全模型
安全模型作用：是提供一个框架，保护目录中信息不被非法访问。
LDAP中安全模型关键经过身份认证、安全通道和访问控制(ACL)来实现
LDAP是一个面向连接协议，在能够对LDAP目录进行任何操作之前，LDAP用户端必需取得一个到LDAP服务端一个连接，在这个过程中需要对LDAP用户端身份进行验证，这一过程能够了解为用户绑定。
LDAPV2 只支持简单密码验证。
LDAPV3 实现了SASL安全框架，SASL为多个验证协议提供了一个标准验证方法，对于不一样验证系统，能够实现特定SASL机制。SASL机制代表了一个验证协议。
在用户经过验证以后，能够为该用户分配附加权限，比如部分用户只能查看特定Entry，而不能修改。部分用户能够查看而且修改全部Entry等。这一过程能够了解为访问控制。

五、 LDIF
LDIF经过一个文本文件，用来描述目录数据，能够将目录服务器中数据导出到一个LDIF文件中，而且能够将LDIF文件中数据导入到另一个目录服务器。即使这两个目录服务器内部使用是不一样数据库格式。
有两种类型LDIF文件，第一个用来描述Directory目录数据，第二种包含更新语句，用于更新现有Directory条目数据。
第一个文件，内容包含两部分：第一部分是DN，第二部分是一系列属性-值对
以下图：

以上LDIF文件只包含了一个Directory Entry。能够在一个LDIF文件中包含多个Entry

第二种文件，包含更新语句。第一行一样是DN。第二行是更新类型，后边是要更新属性及值。当然也能够用来添加新Entry。
以下图：添加一条Entry(注意第二行:changetype：add)

以下图：删除一条Entry

以下图：修改一条Entry
语法以下：
dn: dn of entry to be modified
changetype: modify
modifytype: attribute type
[attribute type: attribute value]
添加属性示例

删除属性示例

或

修改属性值

也能够将多条更新语句放在一个文件里，各语句之间用“-”分开

重新命名Entry或移动Entry
语法：
　　dn: ＥｎｔｒｙＤＮ名称
　　changetype: moddn　//changetype类型必需为ｍｏｄｄｎ
　　[newsuperior:假如要移动一条Ｅｎｔｒｙ则该项表示一个新节点ＤＮ]
　　[deleteoldrdn: ( 0 | 1 )该项表示是否要删除修改以前ＲＤＮ　０不删除]
[newrdn:Ｅｎｔｒｙ新ＲＤＮ]
因为一条EntryDN是由该EntryRDN 和它父节点DN组成。
一条EntryRDN 是该Entry中一个属性。就像关系数据库中，主键值能够唯一区
区分一条统计一样，在同一个节点下全部Entry中RDN必需由唯一标识该Entry
属性组成。
所以重新命名Entry，也就是重新命名该EntryRDN。
示例以下：

实施以上语句后该Ｅｎｔｒｙ　以下所表示：
dn: uid=babsj, ou=People, dc=example, dc=com
uid: babsj
uid: bjensen

移动一条Ｅｎｔｒｙ示例以下：

六、 LDAP模式（schema）
假如你使用过关系型数据库，那么对模式应该不会陌生。关系数据库系统全部是经过表格形式进行数据存放。在这之前，我们首先要定义表结构，也即是模式。表结构由部分字段组成，每个字段全部有一个类型，和部分约束条件。这就要求了我们能够存放信息。
上面我们介绍过LDAP目录服务器中存放信息是被组织成树型结构进行存放。和存放信息之前也要定义模式，不过，和关系型数据库系统不一样是，作为LDAP目录服务器用户而言，通常不需要自己定义模式，全部实现LDAP协议目录服务器，全部已经定义好了很多模式，这些模式能够处理我们大部分信息存放问题。
LDAP模式是由以下部分元素组成
1：Attribute types 属性类型，也就是属性名称。我们已经介绍过，每个属性名称其实也代表着一个属性类型。表示该属性能够存放什么样信息。
2：Attribute syntaxes 属性语法，该元素表示每个属性名称所存放信息怎样组织。
3：匹配规则，每一个属性全部有匹配规则，用于数据比较。
4：object classes，对象类.上面已经介绍过，每个Entry全部必需最少属于一个object class。要求了该Entry能够存放那些属性。
下面介绍一下LDAP协议中定义部分常见属性极其含义（具体信息看RFC 2252文档）

属性
汉字名称
描述
c
国家名称
值为两位国家代码
如：中国：CN
美国：US
cn
通用名称

dc
域名组件
如：
dc=sohu,dc=com
co
国家名称
国家全名
gn
gavenName

homephone
家庭电话号码

mail
邮件地址

mobile
移动电话号码

o
组织名称

ou
部门名称
通常为组织机构下
一个部门或一个大
型实体下一个子实
体
postalCode
邮政编码

sn
姓，别名

st
州或省名称

street
街道地址

userPassword
用户密码

uid
用户ID

departmentNumber
部门编号

displayName
显示名称

description
描述

employeeNumber
职员编号

manager
经理

下面是部分LDAP协议中定义object class（具体信息查看RFC 2252文档）
Object class
必需属性
可选属性
account
userid
description $ seeAlso $ localityName $ organizationName $ organizationalUnitName $ host
country
c
searchGuide $ description
dcObject
dc

device
cn
serialNumber $ seeAlso $ owner $ ou $ o $ l $ description
inetOrgPerson->person
继承person

audio $ businessCategory $ carLicense $ departmentNumber $ displayName $ employeeNumber $ employeeType $ givenName $ homePhone $ homePostalAddress $ initials $ jpegPhoto $ labeledURI $ mail $ manager $ mobile $ o $ pager $ photo $ roomNumber $ secretary $ uid $ userCertificate $ x500uniqueIdentifier $ preferredLanguage $ userSMIMECertificate $ userPKCS12
organizationalPerson
继承Person

title $ x121Address $ registeredAddress $ destinationIndicator $ preferredDeliveryMethod $ telexNumber $ teletexTerminalIdentifier $ telephoneNumber $ internationaliSDNNumber $ facsimileTelephoneNumber $ street $ postOfficeBox $ postalCode $ postalAddress $ physicalDeliveryOfficeName $ ou $ st $ l
organization
o
userPassword $ searchGuide $ seeAlso $ businessCategory $ x121Address $ registeredAddress $ destinationIndicator $ preferredDeliveryMethod $ telexNumber $ teletexTerminalIdentifier $ telephoneNumber $ internationaliSDNNumber $ facsimileTelephoneNumber $ street $ postOfficeBox $ postalCode $ postalAddress $ physicalDeliveryOfficeName $ st $ l $ description
organizationalRole
cn
x121Address $ registeredAddress $ destinationIndicator $ preferredDeliveryMethod $ telexNumber $ teletexTerminalIdentifier $ telephoneNumber $ internationaliSDNNumber $ facsimileTelephoneNumber $ seeAlso $ roleOccupant $ preferredDeliveryMethod $ street $ postOfficeBox $ postalCode $ postalAddress $ physicalDeliveryOfficeName $ ou $ st $ l $ description
organizationalUnit
ou
userPassword $ searchGuide $ seeAlso $ businessCategory $ x121Address $ registeredAddress $ destinationIndicator $ preferredDeliveryMethod $ telexNumber $ teletexTerminalIdentifier $ telephoneNumber $ internationaliSDNNumber $ facsimileTelephoneNumber $ street $ postOfficeBox $ postalCode $ postalAddress $ physicalDeliveryOfficeName $ st $ l $ description
person
cn sn
userPassword $ telephoneNumber $ seeAlso $ description
Top(全部类基类)

七、 常见目录服务器
1:Apache directory server
2:Sun directory server
3:openDS 一个开源，基于LDAP和DSML标准Directory service。Directory service不仅包含Directory server，还有其它和directory相关基础service：directory proxy
、virtual dirctory、namespace distribution和数据同时Directory server是一个能够经过网络访问，信息分级存放数据库。OpenDS只能用在linux操作系统。该项目标地址为：
4: Netscape Directory Server
5: Window AD
八、 Apache directory server安装和使用
1:下载ApacheDS 地址为:
2:ApacheDS安装比较简单，没有什么特殊设置。在ApacheDS 安装完成后要开启ApacheDS服务。路径以下：控制面板---à 管理工具---à服务--àApache Directory server
ApacheDS监听端口默认为10389
3:安装Apache directory studio。下载地址同上。该软件是ApacheDS一个用户端工具。用于连接ApacheDS，搜索，更新，删除，添加数据。安装时也没有尤其设置，请按默认设置安装该软件。
4:使用Apache directory studio连接ApacheDS 步骤以下：
第一步：在菜单栏中选择LDAP菜单下New Connection选项

第二步：在下面对话框中输入对应值。

第三步：在一下对话框中输入要连接根DN和密码。在ApacheDS安装完成后，已经创建了多个DIT（目录信息树），第一次登录ApacheDS话通常会连接以下输入根节点DN 密码为：secret。当然能够在第一个选项框中选择No Authentication。这是不需要输入下面验证信息。这种登录术语匿名登录。权限受限制。

第四步。连接完成后，以下图：图中出现了apahceDS安装默认创建三个目录信息树

第五步：创建Partition。ApacheDS中目录信息是保留在Partition中。所以在创建新目录树之前首先要创建Partition。创建Partition一个方法是修改server.xml配置文件。该文件路径以下：C:\Program Files\Apache Directory Server\instances\default\conf\
在该文件中找到Partitions元素。添加<jdbmPartition>元素。

第六步：创建完成以后，重启Apache direcory server 服务。在Apache directory studio视图中看到结果以下，在右侧栏中我们能够看到我们刚刚添加Partition。不过在左侧栏中，我们并没有看到该目录分支存在。因为，必需要创建一个Context Entry。

第七步：创建Context Entry
1
2

3

4

5

6

九、 LDAP应用场景
使用JNDI操作目录服务
1. 准备连接目录服务器对应配置文件（以ApacheDS为例）
apacheds.properties
java.naming.factory.initial=com.sun.jndi.ldap.LdapCtxFactory
java.naming.provider.url=ldap://localhost:10389/dc=example,dc=com
java.naming.security.authentication=simple
java.naming.security.principal=uid=liujz,dc=example,dc=com
java.naming.security.credentials=123456
2. 创建测试类
public class LDAPTest｛
private static DirContext ctx =null;
private Properties ldapProps ;
public LDAPTest(Properties ldapProp){
This. ldapProp = ldapProp;
}
public DirContext getDirContext(){
If(ctx=null){
ctx = new InitialDirContext(ldapProps);
}
return ctx ;
}
//从LDAP服务器中查询符合条件Entry
public void queryEntry(){
SearchControls sc = new SearchControls();
//用于设置查询范围
//有三种查询范围
SUBTREE_SCOPE：表示在以指定对象为根子树中查找，能够返回多个元素
ONLEVEL_SCOPE:表示指定对象极其直接子实体
OBJECT_SCOPE:表示返回指定对象。
sc.setSearchScope(SearchControls.SUBTREE_SCOPE);
//该方法有单个参数，第一个参数是DN是一个相正确，因为依据配置文件，我们已经连接到根DN为dc=example，dc=com目录树上，所以一下方法查询EntryDN为 ou=Account，dc=example，dc=com。第二个参数是过滤器，相当于SQL中where子句。第三个参数为查询控制
String dn = “ou=Account”;
String filter = “ou=Account”;
NamingEnumeration result = getDirContext().search(dn,filter,sc);
While(result.hasMore()){
SearchResult entry = (SearchResult)result.next();
Attributes attrs = entry.getAttributes();
Attribute attr = attrs.get(“ou”);
System.out.println(“ou=”+attr.get());
}
}
//向LDAP服务器中添加Entry
Public void addEntry(){
//在ou=account，dc=example，dc=com节点下添加一个子节点。其RDN为cn=liujianzhong
Attributes attrs = new BasicAttributes();
attrs.put(“cn”,”liujianzhong”);
attrs.put(“sn”,”liu”);
attrs.put(“userpassword”,”123456”);
BasicAttribute objectClassSet = new BasicAtrribute(“objectclass”);
objectClassSet.add(“top”):
objectClassSet.add(“person”);
objectClassSet.add(“organizationalPerson”);
objectClassSet.add(“inetOrgPerson”);
attrs.put(objectClassSet);
ctx.createSubContext(“cn=liujianzhong,ou=Account”,attrs);
}
//删除LDAP目录服务器中指定Entry，假如该节点为叶子节点则直接删除，不然要先得到该节点下全部叶子节点，然后从最底层叶子节点删除，直到删除全部叶子节点为止
Public void delEntry(){
//删除叶子节点
String DN = “cn=liujianzhong,ou=Account” ;
getDirContext().destroySubcontext(DN);
//删除非叶子节点
String DN = “ou=Account,dc=example,dc=com” ;
}
//删除非叶子节点
Public void delDN(String dn,DirContext ctx){
String root ="dc=example,dc=com";
SearchControls sc = new SearchControls();
String filter = "(objectclass=*)";
sc.setSearchScope(SearchControls.ONELEVEL_SCOPE);
NamingEnumeration results = ctx.search(dn, filter, sc);
while(results.hasMore()){
SearchResult entry = (SearchResult)results.nextElement();
String name = entry.getNameInNamespace();
int rin = name.length()-root.length()-1;
String rdn = name.substring(0, rin);
delDn(rdn,ctx);
}
ctx.destroySubcontext(dn);
}
//修改LDAP服务器中Entry属性
public void modifyEntry(String dn,DirContext ctx) throws NamingException ｛
BasicAttribute attr = new BasicAttribute("sn");
attr.add("jianzhong");
//修改属性
ModificationItem[] mods = new ModificationItem[1];
mods[0] = new ModificationItem(LdapContext.REPLACE_ATTRIBUTE,attr);
ctx.modifyAttributes(dn, mods);
//添加属性
BasicAttribute psw = new BasicAttribute(“userPassword”);
Psw.add(“123456”);
ModificationItem[] add=new ModificationItem[1];
Add[0] = new ModificationItem(LdapContext.ADD_ATTRIBUTE,psw);
ctx.modifyAttributes(dn, add);
//删除属性
BasicAttribute psw1= new BasicAttribute(“userPassword”);
ModificationItem[] rem=new ModificationItem[1];
Rem[0] = new ModificationItem(LdapContext.ADD_ATTRIBUTE,psw1);
ctx.modifyAttributes(dn, rem);
｝
｝
3.
十、