1. 目錄服務

目錄是一個為查詢、瀏覽和搜索而優化的專業分布式數據庫，它呈樹狀結構組織數據，就好象Linux/Unix系統中的文件目錄一樣。目錄數據庫和關系數據庫不同，它有優異的讀性能，但寫性能差，並且沒有事務處理、回滾等復雜功能，不適於存儲修改頻繁的數據。所以目錄天生是用來查詢的，就好象它的名字一樣。

目錄服務是由目錄數據庫和一套訪問協議組成的系統。類似以下的信息適合儲存在目錄中：

• 企業員工信息，如姓名、電話、郵箱等；
• 公用證書和安全密鑰；
• 公司的物理設備信息，如服務器，它的IP地址、存放位置、廠商、購買時間等；

LDAP是輕量目錄訪問協議(Lightweight Directory Access Protocol)的縮寫，LDAP是從X.500目錄訪問協議的基礎上發展過來的，目前的版本是v3.0。與LDAP一樣提供類似的目錄服務軟件還有ApacheDS、Active Directory、Red Hat Directory Service 。

2. LDAP特點

• LDAP的結構用樹來表示，而不是用表格。正因為這樣，就不能用SQL語句了
• LDAP可以很快地得到查詢結果，不過在寫方面，就慢得多
• LDAP提供了靜態數據的快速查詢方式
• Client/server模型，Server 用於存儲數據，Client提供操作目錄信息樹的工具
• 這些工具可以將數據庫的內容以文本格式（LDAP 數據交換格式，LDIF）呈現在您的面前
• LDAP是一種開放Internet標準，LDAP協議是跨平臺的Interent協議

3. LDAP組織數據的方式

4. 基本概念

在瀏覽LDAP相關文檔時經常會遇見一些概念，下面是常見概念的簡單解釋。

4.1 Entry

條目，也叫記錄項，是LDAP中最基本的顆粒，就像字典中的詞條，或者是數據庫中的記錄。通常對LDAP的添加、刪除、更改、檢索都是以條目為基本對象的。

dn：每一個條目都有一個唯一的標識名（distinguished Name ，DN），如上圖中一個 dn："cn=baby,ou=marketing,ou=people,dc=mydomain,dc=org" 。通過DN的層次型語法結構，可以方便地表示出條目在LDAP樹中的位置，通常用於檢索。

rdn：一般指dn逗號最左邊的部分，如cn=baby。它與RootDN不同，RootDN通常與RootPW同時出現，特指管理LDAP中信息的最高權限用戶。

Base DN：LDAP目錄樹的最頂部就是根，也就是所謂的“Base DN"，如"dc=mydomain,dc=org"。

4.2 Attribute

每個條目都可以有很多屬性（Attribute），比如常見的人都有姓名、地址、電話等屬性。每個屬性都有名稱及對應的值，屬性值可以有單個、多個，比如你有多個郵箱。

屬性不是隨便定義的，需要符合一定的規則，而這個規則可以通過schema制定。比如，如果一個entry沒有包含在 inetorgperson 這個 schema 中的objectClass: inetOrgPerson，那麽就不能為它指定employeeNumber屬性，因為employeeNumber是在inetOrgPerson中定義的。

LDAP為人員組織機構中常見的對象都設計了屬性(比如commonName，surname)。下面有一些常用的別名：

4.3 ObjectClass

對象類是屬性的集合，LDAP預想了很多人員組織機構中常見的對象，並將其封裝成對象類。比如人員（person）含有姓（sn）、名（cn）、電話(telephoneNumber)、密碼(userPassword)等屬性，單位職工(organizationalPerson)是人員(person)的繼承類，除了上述屬性之外還含有職務（title）、郵政編碼（postalCode）、通信地址(postalAddress)等屬性。

通過對象類可以方便的定義條目類型。每個條目可以直接繼承多個對象類，這樣就繼承了各種屬性。如果2個對象類中有相同的屬性，則條目繼承後只會保留1個屬性。對象類同時也規定了哪些屬性是基本信息，必須含有(Must 活Required，必要屬性)：哪些屬性是擴展信息，可以含有（May或Optional，可選屬性）。

對象類有三種類型：結構類型（Structural）、抽象類型(Abstract)和輔助類型（Auxiliary）。結構類型是最基本的類型，它規定了對象實體的基本屬性，每個條目屬於且僅屬於一個結構型對象類。抽象類型可以是結構類型或其他抽象類型父類，它將對象屬性中共性的部分組織在一起，稱為其他類的模板，條目不能直接集成抽象型對象類。輔助類型規定了對象實體的擴展屬性。每個條目至少有一個結構性對象類。

對象類本身是可以相互繼承的，所以對象類的根類是top抽象型對象類。以常用的人員類型為例，他們的繼承關系：

下面是inetOrgPerson對象類的在schema中的定義，可以清楚的看到它的父類SUB和可選屬性MAY、必要屬性MUST(繼承自organizationalPerson)，關於各屬性的語法則在schema中的attributetype定義。

# inetOrgPerson
# The inetOrgPerson represents people who are associated with an
# organization in some way.  It is a structural class and is derived
# from the organizationalPerson which is defined in X.521 [X521].
objectclass     ( 2.16.840.1.113730.3.2.2
    NAME ‘inetOrgPerson‘
        DESC ‘RFC2798: Internet Organizational Person‘
    SUP organizationalPerson
    STRUCTURAL
        MAY (
                audio $ businessCategory $ carLicense $ departmentNumber $
                displayName $ employeeNumber $ employeeType $ givenName $
                homePhone $ homePostalAddress $ initials $ jpegPhoto $
                labeledURI $ mail $ manager $ mobile $ o $ pager $
                photo $ roomNumber $ secretary $ uid $ userCertificate $
                x500uniqueIdentifier $ preferredLanguage $
                userSMIMECertificate $ userPKCS12 )
        )

4.4 Schema

對象類（ObjectClass）、屬性類型（AttributeType）、語法（Syntax）分別約定了條目、屬性、值，他們之間的關系如下圖所示。所以這些構成了模式(Schema)——對象類的集合。條目數據在導入時通常需要接受模式檢查，它確保了目錄中所有的條目數據結構都是一致的。

schema（一般在/etc/ldap/schema/目錄）在導入時要註意前後順序。

4.5 backend & database

ldap的後臺進程slapd接收、響應請求，但實際存儲數據、獲取數據的操作是由Backends做的，而數據是存放在database中，所以你可以看到往往你可以看到backend和database指令是一樣的值如 bdb 。一個 backend 可以有多個 database instance，但每個 database 的 suffix 和 rootdn 不一樣。openldap 2.4版本的模塊是動態加載的，所以在使用backend時需要moduleload back_bdb指令。

bdb是一個高性能的支持事務和故障恢復的數據庫後端，可以滿足絕大部分需求。許多舊文檔裏（包括官方）說建議將bdb作為首選後端服務（primary backend），但2.4版文檔明確說hdb才是被首先推薦使用的，這從 2.4.40 版默認安裝後的配置文件裏也可以看出。hdb是基於bdb的，但是它通過擴展的索引和緩存技術可以加快數據訪問，修改entries會更有效率，有興趣可以訪問上的鏈接或slapd.backends。

另外config是特殊的backend，用來在運行時管理slapd的配置，它只能有一個實例，甚至無需顯式在slapd.conf中配置。

4.6 TLS & SASL

分布式LDAP 是以明文的格式通過網絡來發送信息的，包括client訪問ldap的密碼（當然一般密碼已然是二進制的），SSL/TLS 的加密協議就是來保證數據傳送的保密性和完整性。

SASL （Simple Authenticaion and Security Layer）簡單身份驗證安全框架，它能夠實現openldap客戶端到服務端的用戶驗證，也是ldapsearch、ldapmodify這些標準客戶端工具默認嘗試與LDAP服務端認證用戶的方式（前提是已經安裝好 Cyrus SASL）。SASL有幾大工業實現標準：Kerveros V5、DIGEST-MD5、EXTERNAL、PLAIN、LOGIN。

Kerveros V5是裏面最復雜的一種，使用GSSAPI機制，必須配置完整的Kerberos V5安全系統，密碼不再存放在目錄服務器中，每一個dn與Kerberos數據庫的主體對應。DIGEST-MD5稍微簡單一點，密碼通過saslpasswd2生成放在sasldb數據庫中，或者將明文hash存到LDAP dn的userPassword中，每一個authid映射成目錄服務器的dn，常和SSL配合使用。參考將 LDAP 客戶端配置為使用安全性

EXTERNAL一般用於初始化添加schema時使用，如ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/core.ldif。

4.7 LDIF

LDIF（LDAP Data Interchange Format，數據交換格式）是LDAP數據庫信息的一種文本格式，用於數據的導入導出，每行都是“屬性: 值”對，見 openldap ldif格式示例

OpenLDAP(2.4.3x)服務器安裝配置方法見這裏。

參考

• LDAP基礎概念
• LDAP-HOWTO
• openldap doc admin24

LDAP服務器的概念和原理簡單介紹