linux服务之openldap

http://www.openldap.org/

http://blog.csdn.net/chinalinuxzend/article/details/1870656　　OpenLDAP学习笔记

http://www.ttlsa.com/linux/openldap-openssh-lpk-sudo-tls-auth/　　LINUX下基于LDAP集中系统用户认证系统

 

yum install openldap-servers

yum install openldap-clients

 

/usr/sbin/slapacl
/usr/sbin/slapadd
/usr/sbin/slapauth
/usr/sbin/slapcat
/usr/sbin/slapd
/usr/sbin/slapdn
/usr/sbin/slapindex
/usr/sbin/slappasswd
/usr/sbin/slapschema
/usr/sbin/slaptest

 

LDAP：Lightweight Directory Access Protocol  轻量级目录访问协议

LDAP协议基于X.500标准, 与X.500不同，LDAP支持TCP/IP, 是跨平台的和标准的协议

LDAP标准实际上是在X.500标准基础上产生的一个简化版本

AD是Active  Directory的缩写，AD应该是LDAP的一个应用实例，而不应该是LDAP本身。比如：windows域控的用户、权限管理应该是微软公司使用LDAP存储了一些数据来解决域控这个具体问题，

只是AD顺便还提供了用户接口，也可以利用Active Directory当做LDAP服务器存放一些自己的东西而已。比如LDAP是关系型数据库，微软自己在库中建立了几个表，每个表都定义好了字段。显然这些表和字段都是根据微软自己的需求定制的，而不是LDAP协议的规定。然后微软将LDAP做了一些封装接口，用户可以利用这些接口写程序操作LDAP，使得Active Directory也成了一个LDAP服务器。

总之：Active Directory = LDAP服务器＋LDAP应用（Windows域控）。Active Directory先实现一个LDAP服务器，然后自己先用这个LDAP服务器实现了自己的一个具体应用（域控）

7.1.2
目录服务标准：X.500和LDAP
目录服务的两个国际标准是X.500和LDAP。X.500包括了从X.501到X.509等一系列目录数据服务，已经被作为提供全球范围的目录服务的一种国际标准。
而LDAP是基于TCP/IP协议的目录访问协议，是Internet上目录服务的通用访问协议。
X.500是国际电联定义的目录标准，它包括了一系列完整的目录数据服务。用于X.500客户机与服务器通信的协议是DAP（Directory Access Protocol）。X.500为网络用户提供分布式目录服务。
它定义一个机构如何在一个企业的全局范围内共享名字和与它们相关的对象。X.500规定总体命名方式，全球统一的名字空间，一个完整的X.500系统称为一个目录。这个目录是一个数据库，称为目录信息数据库（DIB）。X.500是层次性的，所有对象被组织成树形结构，模仿一个机构的组织形式。X.500目录服务还能够实现身份认证、访问控制。它被公认为是实现一个目录服务的最好途径，但是它的实现需要很大投资，效率不高，在实际应用中存在着不少障碍。DAP对相关层协议环境要求过多，在许多小系统上无法使用，也不适应TCP/IP协议体系。
鉴于此，出现了DAP的简化版LDAP。
LDAP（Lightweight Directory Access Protocol）的目的很明确，就是要简化X.500目录的复杂度以降低开发成本，同时适应Internet的需要。LDAP已经成为目录服务的标准，它比X.500 DAP协议更为简单实用，而且可以根据需要定制，因而实际应用也更为广泛。与X.500不同，LDAP支持TCP/IP协议，这对访问Internet是必需的。X.500采用公钥基础结构（PKI）作为主要的认证方式，而LDAP最初并不考虑安全问题，目前已增加安全机制。为保证数据访问安全，可使用LDAP的ACL（访问控制列表）来控制对数据读和写的权限。
LDAP目前有两个版本：第2版LDAP v2和第3版LDAP v3。基于LDAP v3的服务器可以让普通用户使用支持LDAP功能的Web浏览器，进行有关电子邮件用户的查询，可以查询的用户属性包括姓名、电话号码、电子邮件地址和地址信息等；系统管理员可以通过LDAP客户程序远程进行目录管理操作，如添加、删除和修改用户账户信息等；可以请求服务器执行扩展操作。

内部细节并不重要，因为这些工具可以将数据库的内容以文本格式（LDAP 数据交换格式，LDIF）呈现在您的面前。

LDAP 信息被组织成属性和值的组合，称为 条目（entry）。条目可能会具有必须的属性或可选属性。一个条目的属性必须要遵循 /etc/openldap/schema/ 模式文件中定义的规则。规则包含在条目的 objectclass 属性中。看一下下面的关系，我们可以看出 posixAccount objectclass 中包含了密码文件条目的信息（posixAccount userPassword 是文件条目的 base64 编码）。

在LDAP中信息以树状方式组织，在树状信息中的基本数据单元是条目，而每个条目由属性构成，属性中存储有属性值

(1)O:Organization 组织
根的表示方法（参考LDAP Server）
a. 组织名称(x.500)
假设组织名称为zhangyang
o=zhangyang
b. 域名
假设组织域名为zhangyang.com
o=zhangyang.com或dc=zhangyang, dc=com
(2)OU: Organization Unit 组织单元
(3)Entry: 条目,记录， 由DN唯一标识
(4)DN: Distinguished Name，每个叶子结点到根的路径就是DN
如: cn=test, ou=ou1, o=zhangyang.com
(5)RDN: Relative Distinguished Name，叶子结点本身的名字是RDN
如:test就是RDN
(6)Base DN: 基准DN，指定LDAP search的起始DN,即从哪个DN下开始搜索
搜索组织单元为ou1，则base DN为 ou=ou1,o=O
ou=ou1,o=zhangyang.com 或 ou=ou1,dc=zhangyang, dc=com
(7)AttributeType：属性类型，    
(8)ObjectClass: 对象类,由多个attributetype(属性类型)组成, 每个条目(Entry)必须属于某个或多个对象类（Object Class）
(9)schema文件: 定义对象类、属性类型、语法和匹配规则, 有系统schema，用户也可自定义schema文件
(10) LDIF:LDAP Interchange Format, 是指存储LDAP配置信息及目录内容的标准文本文件格式。LDIF文件常用来向目录导入或更改记录信息，
基本格式：AttributeName: value
属性名 冒号 空格 属性值
如
dn: dc=zy,dc=net
objectclass: dcObject
objectclass: organization
dc: zy
o: zhangyang
(11)监听端口
TCP/IP port: 389
SSL port: 636

三、Search filter:
每个表达式都放在括号内，多个表达式用与(&)，或(|)，非(!)等连结
&   (&(filter1)(filter2)...(filtern))   filter1,filter2,...,filtern同时满足
|    (|(filter1)(filter2)...(filtern))    filter1,filter2,...,filtern至少有一个满足
!    (!(filter))                             非filter
filter支持通配符(wildcard)*
*表示零或多个字符

如（objectclass=*）,指列出所有类型的记录（不过分类）

四、LDAP客户端和LDAP服务器端交互过程
1. 绑定。LDAP客户端与LDAP服务器建立连接。可匿名绑定，也可以用户名+密码形式绑定(具体参考LDAP Server, AD不支持匿名查询)。
2. LDAP客户端向LDAP服务器发出查询、添加、修改、删除entry等操作。  
3. 解除绑定。LDAP客户端与LDAP服务器断开连接。

五、 LDAP软件
常见的LDAP服务器：Microsoft Active Directory, IBM Domino, openldap
常见的LDAP客户端： JXplorer