LDAP（轻型目录访问协议）应用统一认证服务

概览

轻型目录访问协议（英文：Lightweight Directory Access Protocol，缩写：LDAP，/ˈɛldæp/）是一个开放的，中立的，工业标准的应用协议，通过 IP 协议提供访问控制和维护分布式信息的目录信息。
LDAP 由互联网工程任务组（IETF）的文档 RFC 定义，使用了描述语言 ASN.1 定义。最新的版本是版本 3，由 RFC 4511 所定义。例如，一个用语言描述的 LDAP 的搜索如：“在公司邮件目录中搜索公司位于那什维尔名字中含有 “Jessy” 的有邮件地址的所有人。请返回他们的全名，电子邮件，头衔和简述。”
LDAP 的一个常用用途是单点登录，用户可以在多个服务中使用同一个密码，通常用于公司内部网站的登录中（这样他们可以在公司电脑上登录一次，便可以自动在公司内部网上登录）。
LDAP 基于 X.500 标准的子集。因为这个关系，LDAP 有时被称为 X.500-lite。

LDAP 目录的条目（entry）由属性（attribute）的一个聚集组成，并由一个唯一性的名字引用，即专有名称（distinguished name，DN）。例如，DN 能取这样的值：“ou=creative,dc=hexingxing,dc=cn”。

           dc=cn

       dc=hexingxing
        /         \
  ou=creative   ou=technology

RFC 文档

• RFC 1777 - LDAPv2
• RFC 1778 - LDAPv2 String Representation of Standard Attribute Syntaxes
• RFC 1959 - URL Format
• RFC 1960～RFC 2254 - String Representation of LDAP Search Filters
• RFC 1823 - C API
• RFC 2247 - Use of DNS domains in distinguished names
• RFC 2251 - LDAPv3: The specification of the LDAP on-the-wire protocol
• RFC 2252 - LDAPv3: Attribute Syntax Definitions
• RFC 2253 - LDAPv3: UTF-8 String Representation of Distinguished Names
• RFC 2254 - LDAPv3: The String Representation of LDAP Search Filters
• RFC 2255 - LDAPv3: The LDAP URL Format
• RFC 2256 - LDAPv3: A Summary of the X.500 (96) User Schema for use with LDAPv3
• RFC 2829 - LDAPv3: Authentication Methods for LDAP
• RFC 2830 - LDAPv3: Extension for Transport Layer Security
• RFC 3377 - LDAPv3: Technical Specification
• RFC 2307 - Using LDAP as a Network Information Service

什么是 LDAP

简而言之，LDAP 就是就是用于一定范围内的统一认证服务，一套账户认证多个服务完成登录，即单点登录。

LDAP 是基于 X.500 标准的轻量级目录访问协议，目录是一个为查询、浏览和搜索而优化的数据库，它成树状结构组织数据，类似文件目录一样。

目录数据库和关系数据库不同，它有优异的读性能，但写性能差，并且没有事务处理、回滚等复杂功能，不适于存储修改频繁的数据。所以目录天生是用来查询的，就好象它的名字一样。

LDAP 目录服务是由目录数据库和一套访问协议组成的系统。

为什么用 LDAP

LDAP 服务器是一种目录服务，例如 Active Directory、IBM® Lotus Domino® Directory、OpenLDAP、Novell eDirectory、Oracle Internet Directory、Sun ONE，它存储有关人员、组织和其他资源的信息，并使用 LDAP 进行访问协议。目录中的条目被组织成层次结构，在某些情况下，层次结构反映了组织的结构或地理位置。

LDAP 是开放的 Internet 标准，支持跨平台的 Internet 协议，在业界中得到广泛认可的，并且市场上或者开源社区上的大多产品都加入了对 LDAP 的支持，因此对于这类系统，不需单独定制，只需要通过 LDAP 做简单的配置就可以与服务器做认证交互。“简单粗暴”，可以大大降低重复开发和对接的成本。

我们拿开源系统（YAPI）做案例，只需做一下简单的几步配置就可以达到 LDAP 的单点登录认证了：

{
"ldapLogin": {
"enable": true,
"server": "ldap://l-ldapt1.ops.dev.cn0.qunar.com",
"baseDn": "CN=Admin,CN=Users,DC=test,DC=com",
"bindPassword": "password123",
"searchDn": "OU=UserContainer,DC=test,DC=com",
"searchStandard": "mail"
}
}

支持产品

厂商	产品名称（或多个）
Apache	Apache Directory™
Apple	Open Directory
HP	HP-UX Directory Server
IBM	Lotus Domino® Directory
ISODE	M-Vault server
Microsoft	Active Directory
Netscape	Sun Microsystems & Red Hat
Novell	Novell Directory Server
Novell	eDirectory
OctetString	VDE Server
Opensource	Opensource
Oracle	Oracle Internet Directory
Red Hat	Fedora Directory Server
Sun	SUN ONE Directory Server & iPlanet Directory Server
Siemens	DirX Server

基本模型

每一个系统、协议都会有属于自己的模型，LDAP 也不例外，在了解 LDAP 的基本模型之前我们需要先了解几个 LDAP 的目录树概念：

（一）目录树概念

1. 目录树：在一个目录服务系统中，整个目录信息集可以表示为一个目录信息树，树中的每个节点是一个条目。

2.  条目：每个条目就是一条记录，每个条目有自己的唯一可区别的名称（DN）。

3. 对象类：与某个实体类型对应的一组属性，对象类是可以继承的，这样父类的必须属性也会被继承下来。

4. 属性：描述条目的某个方面的信息，一个属性由一个属性类型和一个或多个属性值组成，属性有必须属性和非必须属性。

（二）DC、UID、OU、CN、SN、DN、RDN

关键字	英文全称	含义
dc	Domain Component	域名的部分，其格式是将完整的域名分成几部分，如域名为 example.com 变成 dc=example,dc=com（一条记录的所属位置）
uid	User Id	用户 ID songtao.xu（一条记录的 ID）
ou	Organization Unit	组织单位，组织单位可以包含其他各种对象（包括其他组织单元），如 “oa 组”（一条记录的所属组织）
cn	Common Name	公共名称，如 “Thomas Johansson”（一条记录的名称）
sn	Surname	姓，如 “许”
dn	Distinguished Name	“uid=songtao.xu,ou=oa 组,dc=example,dc=com”，一条记录的位置（唯一）
rdn	Relative dn	相对辨别名，类似于文件系统中的相对路径，它是与目录树结构无关的部分，如 “uid=tom” 或 “cn= Thomas Johansson”

LDAP 连接与访问

$ldapconn = ldap_connect(“10.0.8.18")
$ldapbind = ldap_bind($ldapconn, 'username', $ldappass);
$searchRows= ldap_search($ldapconn, $basedn, "(cn=*)");
$searchResult = ldap_get_entries($ldapconn, $searchRows);
ldap_close($ldapconn);

1. 连接到 LDAP 服务器；
2. 绑定到 LDAP 服务器；
3. 在 LDAP 服务器上执行所需的任何操作；
4. 返回搜索结果；
5. 释放 LDAP 服务器的连接。

程序应用 LDAP

PHP

http://www.noobyard.com/article/p-wkgiuozz-dt.html

https://www.cnblogs.com/zrn-php/p/10405243.html

https://www.cnblogs.com/stan2008/p/8269678.html

知道更多

• 软件
  • OpenLDAP
  • Novell eDirectory
  • Sun 目录服务器
  • Windows Server 2003 Active Directory
  • EDS 管理工具
  • 自由的 Win32 LDAP 客户端
• Linux LDAP HOWTO
• LDAP 文章、链接和白皮书
• LDAP 软件和工具
• LDAP (v3) Revision (ldapbis) Working Group
• What is LDAP?
• Nice Neat 示例介绍 LDAP
• Using OpenLDAP - 在 Debian GNU/Linux 安装 OpenLDAP
• LDAP Linux 鉴权 - 将 LDAP 集成到 PAM
• C#LDAP 库。
• 火箭科学家的 LDAP
• PerLDAP 1.4 的 LDAP 实现
• The importance of LDAP Tom Jackiewicz 关于 LDAP 的说明
• 了解 LDAP - 设计与实现 IBM 红皮书

---