概览

轻型目录访问协议(英文:Lightweight Directory Access Protocol,缩写:LDAP,/ˈɛldæp/)是一个开放的,中立的,工业标准的应用协议,通过 IP 协议提供访问控制和维护分布式信息的目录信息。
LDAP 由互联网工程任务组(IETF)的文档 RFC 定义,使用了描述语言 ASN.1 定义。最新的版本是版本 3,由 RFC 4511 所定义。例如,一个用语言描述的 LDAP 的搜索如:“在公司邮件目录中搜索公司位于那什维尔名字中含有 “Jessy” 的有邮件地址的所有人。请返回他们的全名,电子邮件,头衔和简述。”
LDAP 的一个常用用途是单点登录,用户可以在多个服务中使用同一个密码,通常用于公司内部网站的登录中(这样他们可以在公司电脑上登录一次,便可以自动在公司内部网上登录)。
LDAP 基于 X.500 标准的子集。因为这个关系,LDAP 有时被称为 X.500-lite。

LDAP 目录的条目(entry)由属性(attribute)的一个聚集组成,并由一个唯一性的名字引用,即专有名称(distinguished name,DN)。例如,DN 能取这样的值:“ou=creative,dc=hexingxing,dc=cn”。

           dc=cn

       dc=hexingxing
        /         \
  ou=creative   ou=technology

RFC 文档

  • RFC 1777 – LDAPv2
  • RFC 1778 – LDAPv2 String Representation of Standard Attribute Syntaxes
  • RFC 1959 – URL Format
  • RFC 1960RFC 2254 – String Representation of LDAP Search Filters
  • RFC 1823 – C API
  • RFC 2247 – Use of DNS domains in distinguished names
  • RFC 2251 – LDAPv3: The specification of the LDAP on-the-wire protocol
  • RFC 2252 – LDAPv3: Attribute Syntax Definitions
  • RFC 2253 – LDAPv3: UTF-8 String Representation of Distinguished Names
  • RFC 2254 – LDAPv3: The String Representation of LDAP Search Filters
  • RFC 2255 – LDAPv3: The LDAP URL Format
  • RFC 2256 – LDAPv3: A Summary of the X.500 (96) User Schema for use with LDAPv3
  • RFC 2829 – LDAPv3: Authentication Methods for LDAP
  • RFC 2830 – LDAPv3: Extension for Transport Layer Security
  • RFC 3377 – LDAPv3: Technical Specification
  • RFC 2307 – Using LDAP as a Network Information Service

什么是 LDAP

简而言之,LDAP 就是就是用于一定范围内的统一认证服务,一套账户认证多个服务完成登录,即单点登录。

LDAP 是基于 X.500 标准的轻量级目录访问协议,目录是一个为查询、浏览和搜索而优化的数据库,它成树状结构组织数据,类似文件目录一样。

目录数据库和关系数据库不同,它有优异的读性能,但写性能差,并且没有事务处理、回滚等复杂功能,不适于存储修改频繁的数据。所以目录天生是用来查询的,就好象它的名字一样。

LDAP 目录服务是由目录数据库和一套访问协议组成的系统。

为什么用 LDAP

LDAP 服务器是一种目录服务,例如 Active Directory、IBM® Lotus Domino® Directory、OpenLDAP、Novell eDirectory、Oracle Internet Directory、Sun ONE,它存储有关人员、组织和其他资源的信息,并使用 LDAP 进行访问协议。目录中的条目被组织成层次结构,在某些情况下,层次结构反映了组织的结构或地理位置。

LDAP 是开放的 Internet 标准,支持跨平台的 Internet 协议,在业界中得到广泛认可的,并且市场上或者开源社区上的大多产品都加入了对 LDAP 的支持,因此对于这类系统,不需单独定制,只需要通过 LDAP 做简单的配置就可以与服务器做认证交互。“简单粗暴”,可以大大降低重复开发和对接的成本。

我们拿开源系统(YAPI)做案例,只需做一下简单的几步配置就可以达到 LDAP 的单点登录认证了:

{
"ldapLogin": {
"enable": true,
"server": "ldap://l-ldapt1.ops.dev.cn0.qunar.com",
"baseDn": "CN=Admin,CN=Users,DC=test,DC=com",
"bindPassword": "password123",
"searchDn": "OU=UserContainer,DC=test,DC=com",
"searchStandard": "mail"
}
}

支持产品

厂商 产品名称(或多个)
Apache Apache Directory™
Apple Open Directory
HP HP-UX Directory Server
IBM Lotus Domino® Directory
ISODE M-Vault server
Microsoft Active Directory
Netscape Sun Microsystems & Red Hat
Novell Novell Directory Server
Novell eDirectory
OctetString VDE Server
Opensource Opensource
Oracle Oracle Internet Directory
Red Hat Fedora Directory Server
Sun SUN ONE Directory Server & iPlanet Directory Server
Siemens DirX Server

基本模型

每一个系统、协议都会有属于自己的模型,LDAP 也不例外,在了解 LDAP 的基本模型之前我们需要先了解几个 LDAP 的目录树概念:

(一)目录树概念

1. 目录树:在一个目录服务系统中,整个目录信息集可以表示为一个目录信息树,树中的每个节点是一个条目。

2.  条目:每个条目就是一条记录,每个条目有自己的唯一可区别的名称(DN)。

3. 对象类:与某个实体类型对应的一组属性,对象类是可以继承的,这样父类的必须属性也会被继承下来。

4. 属性:描述条目的某个方面的信息,一个属性由一个属性类型和一个或多个属性值组成,属性有必须属性和非必须属性。

(二)DC、UID、OU、CN、SN、DN、RDN

关键字 英文全称 含义
dc Domain Component 域名的部分,其格式是将完整的域名分成几部分,如域名为 example.com 变成 dc=example,dc=com(一条记录的所属位置)
uid User Id 用户 ID songtao.xu(一条记录的 ID)
ou Organization Unit 组织单位,组织单位可以包含其他各种对象(包括其他组织单元),如 “oa 组”(一条记录的所属组织)
cn Common Name 公共名称,如 “Thomas Johansson”(一条记录的名称)
sn Surname 姓,如 “许”
dn Distinguished Name “uid=songtao.xu,ou=oa 组,dc=example,dc=com”,一条记录的位置(唯一)
rdn Relative dn 相对辨别名,类似于文件系统中的相对路径,它是与目录树结构无关的部分,如 “uid=tom” 或 “cn= Thomas Johansson”

LDAP 连接与访问

统一身份认证主要是改变原有的认证策略,使需要认证的软件都通过 LDAP 进行认证,在统一身份认证之后,用户的所有信息都存储在 AD Server 中。终端用户在需要使用公司内部服务的时候,都需要通过 AD 服务器的认证。
$ldapconn = ldap_connect(“10.0.8.18")
$ldapbind = ldap_bind($ldapconn, 'username', $ldappass);
$searchRows= ldap_search($ldapconn, $basedn, "(cn=*)");
$searchResult = ldap_get_entries($ldapconn, $searchRows);
ldap_close($ldapconn);
  1. 连接到 LDAP 服务器;
  2. 绑定到 LDAP 服务器;
  3. 在 LDAP 服务器上执行所需的任何操作;
  4. 返回搜索结果;
  5. 释放 LDAP 服务器的连接。

程序应用 LDAP

PHP

http://www.noobyard.com/article/p-wkgiuozz-dt.html

https://www.cnblogs.com/zrn-php/p/10405243.html

https://www.cnblogs.com/stan2008/p/8269678.html

知道更多


0 条评论

发表评论

Avatar placeholder

您的电子邮箱地址不会被公开。