LDAP 基础知识
目录
简介
协议概览
目录结构
架构（Schema）
对象类（objectClass）
属性（Attribute）
条目（Entry）
LDAP 中的数据
常用命令
启动和关闭: start-ds / stop-ds
检查 LDAP 服务器状态: status
搜寻条目： ldapsearch
修改密码： ldappasswordmodify
列出 backends： list-backends
导出 LDIF 文件： export-ldif
导入 LDIF 文件： import-ldif
管理账户: manage-account
性能
LDAP 浏览器
参考文献
简介
LDAP 是Lightweight Directory Access Protocol的缩写，即轻量目录访问协议。它基于X.500标准下更简单的子集标准开发，因此有时 LDAP 也被称之为X.500-lite，即轻量级 x.500。
目录服务在发展内部网络和因特网应用方面扮演着重要角色，它可以通过互联网分享用户、系统、网络、服务以及应用信息。
目录服务可以提供任何系统化的数据集，并以等级结构（hiearchical structure）呈现结果。比如，公司的邮件目录，或者包含地址和电话号码的电话目录。
LDAP 的一个常用功能是提供用户名和密码的集中存储。不同的应用和服务可以用其来认证用户。
协议概览
客户端发起 LDAP 会话连接到 LDAP 服务器。默认连接端口是 389（LDAP），或者 636（LDAPS）。客户端发起操作请求到服务器，服务器返回响应结果。客户端无需等待服务器响应即可发送下一个请求。服务器则会依次返回响应结果。
客户端可以发送如下操作请求：
• StartTLS - 使用 LDAPv3 TLS 扩展来请求安全连接
• Bind - 认证并指定 LDAP 协议版本
• Search - 搜索目录条目
• Compare - 测试命名条目是否包含指定的属性值
• Add a new entry - 添加一个条目
• Delete an entry - 删除一个条目
• Modify an entry - 修改一个条目
• Modify DN - 修改唯一识别名
• Extended Operation - 用于定义其他操作的通用操作
• Unbind - 关闭连接（注意，并非指 Bind 的逆向操作）
目录结构
在 LDAP 里， 一切都是等级化的，或者称之为层级化（hiearchical）。
一棵树有树干，树枝和树叶；树叶长在树枝上，树枝依附于树干。这就是一个简单的层级结构。LDAP 的结构同一棵树类似。假设 LDAP 里存储的是公司的信息，那么可以把公司（company）本身理解为树干，公司里面的各个部门，比如组（group），理解为树干，把用户（user）理解为树叶。这样的结构称之为目录信息树（DIrectory Information Tree，DIT）。
我们在目录信息树里创建一个条目（entry）时，条目的信息存储在属性（attribute）里，属性又被组合成对象类（objectClass），对象类进一步组成了架构（schema）。
下满我们来解释一下这几个重要的概念。
架构（Schema）
•Schema就是一个集合。所有的objectClass和attribute都定义在Schema里。
• 每一个attribute和objectClass，包括其父级attribute和objectClass都必须定义在一个Schema里，且该Schema必须能够被 LDAP 服务器识别。
• 定义在一个Schema里的attribute可以被另一个Schema里的objectClass使用。
对象类（objectClass）
•objectClass是attribute的集合。
•objectClass定义在Shema里。
•objectClass可以是下面的类型：
–STRUCTURAL- 可以用于创建条目，即数据对象
–AUXILIARY- 可以添加到任何条目
–ABSTRACT- 不存在，抽象的。最常见的ABSTRACTobjectClass是top，表示每个objectClass层级的最高形式，用来结束一个层级。
•objectClass可以以层级的形式呈现，这里它可以继承来自父级的属性。也就是说，objectClass可以是一个层级的一部分，这种情况下，objectClass必须和它的父级objectClass保持同样的类型，即STRUCTURAL或者AUXILIARY类型。当父级是top ABSTRACT时无需遵守此规则，因为 top ABSTRACT 用结束任何层级结构。
• 一个objectClass可以有一个或多个父级的objectClass。
•objectClass是用来包含属性的方式。
•objectClass定义一个attribute是否是必须的（MUST）或者是可选的（MAY）。
•objectClass遵守ASN.1注释标准。
示例：下面是一个简单的 objectClass 定义
objectclass ( 2.5.6.2 NAME 'country' DESC 'RFC2256: a country'SUP top STRUCTURALMUST cMAY ( searchGuide $ description ) )
解释：
•objectClass是关键字，指明这是一个objectClass的定义
•2.5.6.2 NAME 'country'定义 objectClass 的全局唯一识别名。它由两部分组成：
–NAME 'country'为 objectClass 定义一个好理解的名字country
–2.5.6.2定义全局唯一识别名，这种形式称之为OID（ObjectIdentifier）。由哪个组织分配这个号码并不重要，但是必须是全局唯一的。通常推荐向IANA申请一个PEN（Private Enterprise Number）作为 OID 使用。
•SUP 'top'表示该objectClass有一个父级的objectClass，也就是说它是一个层级的一部分。一个objectClass可以有一个或多个父级的objectClass。
•STRUCTURAL表示该objectClass包含属性且可以形成目录信息树（DIT）里的条目（entry）。一个条目里只能包含一个STRUCTURALobjectClass。objectClass 也可以是AUXILIARY，这说明它包含attributes，可以和任何STRUCTURAL objectClass一起使用构成一个条目，但是不可以单独构成一个条目。
•DESC 'a country'为可选值，用来描述objectClass。
•MUST c表示c属性是必须的。这里的属性c（c 或者 countryName）必须存在，否则objectClass实例无法创建成功。如果要指明多个属性是必须的，写法是( attr1 $ attr2 $ attrn)。
•MAY ( searchGuide $ description )表示searchGuide和description是可选的，即创建objectClass时这两个属性不需要一定存在。
属性（Attribute）
•attribute定义在Schema里。
• 一个attribute可以包含在一个或多个 objectClass 里。
• 一个attribute可以在包含它的objectClass里出现一次（SINGLE-VALUE）或多次（MULTI-VALUE）。默认为多次。
• 一个attribute可以是一个层级的一部分，此时它继承所有来自父级的属性。比如，commonName（cn），givenName(gn) 和 surname（sn）都是 name 属性的子类。
•attribute的定义包含它的类型（SYNTAX），比如，通过matchingRules定义字符串（string）或者数字（number）比较时是否大小写敏感。
•attribute定义遵守ASN.1注释标准
示例 1：下面是一个简单的 attribute 定义
attributetype ( 2.5.4.3 NAME ( 'cn' 'commonName' ) SUP name )
解释：
•attributetype说明这是一个关于 attribute 的定义
•2.5.4.3 NAME ('cn' 'commonName')定义一个全局唯一识别名。该识别名由两部分组成：
–NAME ('cn' 'commonName')定义一个可理解的名字commonName或者短别名cn。原则上，短别名的个数没有限制。cn排在第一位，它被称为主要名称（primary name）。这在为搜索优化做条目索引时非常重要。
–2.5.4.3定义全局唯一的 OID （ObjectIdentifier）。由哪个组织分配这个号码并不重要，但是必须是全局唯一的。通常推荐向IANA申请一个PEN（Private Enterprise Number）作为 OID 使用。
示例 2：
attributetype ( 2.5.4.41 NAME 'name'EQUALITY caseIgnoreMatchSUBSTR caseIgnoreSubstringsMatchSYNTAX 1.3.6.1.4.1.1466.115.121.1.15{32768} )
解释：
•attributetype同上。
•2.5.4.41 NAME 'name'同上。
•EQUALITY caseIgnoreMatch定义了该属性在搜索过滤（serach filter）中的行为。比如，（name=andy）。这里指定该属性在搜索中大小写不敏感。这里的caseIgnoreSubstringMatch就是一个matchingRule。
•SYNTAX 1.3.6.1.4.1.1466.115.121.1.15{32768}是一个 OID，定义数据类型（data type）和要应用到数据的规则（data validation）。完整的定义可参考 RFC 2252 section 4.3.2。在本例中，OID 定义该属性为目录字符串（Directory String）类型（参考 RFC 2252 section 6.10）。{32768}定义字符串的最大长度，这是可选的。
条目（Entry）
•目录信息树里objectClass的集合
•entry有且只能有一个 STRUCTURAL objectClass。一个STRUCTURAL objectClass可能有一个同为STRUCTURAL类型的父级。
•entry可以包含任意数目的AUXILIARY objectClass。
•entry可以有子 entry（child entry），父 entry（parent entry），同级 entry（sibling entry）
•entry有三种类型：
–object entry- 最常见的一种，包含位于 objectClass 属性（attributes）里的用户数据
–alias entry- 带有单一属性aliasedObjectName的objectClass别名
–subentry- 用于存储与父 entry相关的管理或者操作数据
下图是关于 objectClass， attribute 以及 entry 的示意图：
LDAP 中的数据
LDAP 中的数据以条目（entry）的形式呈现，就像英文字典里单词的条目。比如下面这个条目。它有很多属性，例如：uid：bjensen，mail：bjensen@。查找条目时，只需要指定一个或者多个属性即可。
同时，该条目有一个唯一识别名称：dn: uid=bjensen,ou=People,dc=example,dc=com。DN 是 Distinguished Name 的缩合。在目录里没有两条相同的唯一识别名称。
dn: uid=bjensen,ou=People,dc=example,dc=comuid: bjensencn: Babs Jensencn: Barbara JensenfacsimileTelephoneNumber: +1 408 555 1992gidNumber: 1000givenName: BarbarahomeDirectory: /home/bjensenl: San Franciscomail: bjensen@objectClass: inetOrgPersonobjectClass: organizationalPersonobjectClass: personobjectClass: posixAccountobjectClass: topou: Peopleou: Product DevelopmentroomNumber: 0209sn: JensentelephoneNumber: +1 408 555 1862uidNumber: 1076
常用命令
鉴于大多数的 LDAP 软件大同小异，这里的内容就以OpenDS/OpenDJ 为例。
启动和关闭: start-ds / stop-ds
• 语法：start-ds/stop-ds
• Windows:
– 打开命令窗口
– 浏览到到bat
– 运行：
• 启动：start-ds
• 关闭：stop-ds
• *nix:
– 打开命令窗口
– 浏览到到/bin
– 运行：
• 启动： ./start-ds
– 关闭： ./stop-ds
检查 LDAP 服务器状态: status
• 语法：status
• Windows:
– 打开命令窗口
– 浏览到到bat
– 运行：status
• *nix:
– 打开命令窗口
– 浏览到到/bin
• 运行：./status
搜寻条目： ldapsearch
• 语法：ldapsearch，其中： 为选项， 为过滤条件， 为显示的属性
• 示例：ldapsearch -p 389 -h 192.168.93.128 -D cn=Manager -w ts -b o=ptc uid=demo，其中：
– ：-p 389 -h 192.168.93.128 -D cn=Manager -w ts -b o=ptc
– ： uid=demo
dn: uid=demo,ou=people,cn=AdministrativeLdap,cn=Windchill_11.2,o=ptcobjectClass: organizationalPersonobjectClass: topobjectClass: personobjectClass: inetOrgPersonuid: demomail: demouserpreferredLanguage: en-USdescription: demosn: Democn: Demo, Usero: Demo OrganizationuserPassword: {SSHA}IDSc3KN4Q1b2YSGfCBQiU4CXgBySg+AQsWkpEA==
• 我们可以使用更复杂的条件，比如"(|(uid=demo)(mail=demouser))"：ldapsearch -p 389 -h 192.168.93.128 -D cn=Manager -w ts -b o=ptc "(|(uid=demo)(mail=demouser))"
修改密码： ldappasswordmodify
• 语法：ldappasswordmodify
• 示例：ldappasswordmodify -p 389 -h 192.168.93.128 -D cn=Manager -w ts -a uid=demo,ou=people,cn=AdministrativeLdap,cn=Windchill_11.2,o=ptc -n tsts，其中：
– : -p 389 -h 192.168.93.128 -D cn=Manager -w ts -a uid=demo,ou=people,cn=AdministrativeLdap,cn=Windchill_11.2,o=ptc -n tsts
• 如果修改成功，则会输出： The LDAP password modify operation was successful
列出 backends： list-backends
• 语法：list-backends，其中：
– -b, --baseDN {baseDN}
– -n, --backendID {backendName}
• 示例：list-backends
Backend ID : Base DN---------------:------------------adminRoot : cn=admin dataads-truststore : cn=ads-truststorebackup : cn=backupsconfig : cn=configmonitor : cn=monitorschema : cn=schematasks : cn=tasksuserRoot : o=ptc
导出 LDIF 文件： export-ldif
• 语法：export-ldif
• 示例：
– 即刻导出文件:export-ldif --ldifFile /root/config.ldif --backendID config --hostName localhost --port 4444 --bindDN cn=Manager --bindPassword ts --trustAll
– 定时导出文件，比如，在 /03/09 11:25:00 导出文件：export-ldif --ldifFile "/root/0309112500.ldif" --backendID userRoot --hostName "http://en2k8-wnc-" --port 4444 --bindDN "cn=Manager" --bindPassword ts --trustAll --start "0309112500"
– 定期导出文件，比如，每月的第一天，12：50 分导出文件：export-ldif --ldifFile "/root/50121.ldif" --backendID userRoot --hostName "http://en2k8-wnc-" --port 4444 --bindDN "cn=Manager" --bindPassword ts --trustAll --recurringTask "50 12 1 * *"
导入 LDIF 文件： import-ldif
• 语法：import-ldif
• 示例：import-ldif --ldifFile "/root/export.ldif" --backendID "userRoot" --overwrite --hostName "http://en2k8-wnc-" --port "4444" --bindDN "cn=Manager" "--bindPassword" ts --trustAll
管理账户: manage-account
• 显示账户的信息：manage-account -D "cn=manager" -w ts get-all --targetDN "uid=wcadmin,ou=people,cn=AdministrativeLdap,cn=Windchill_11.2,o=ptc"
Password Policy DN: cn=Default Password Policy,cn=Password Policies,cn=configAccount Is Disabled: falseAccount Expiration Time:Seconds Until Account Expiration:Password Changed Time: 0607070745.945ZPassword Expiration Warned Time:Seconds Until Password Expiration:Seconds Until Password Expiration Warning:Authentication Failure Times:Seconds Until Authentication Failure Unlock:Remaining Authentication Failure Count: 5Last Login Time:Seconds Until Idle Account Lockout:Password Is Reset: falseSeconds Until Password Reset Lockout:Grace Login Use Times:Remaining Grace Login Count: 0Password Changed by Required Time:Seconds Until Required Change Time:Password History:
• 显示用户状态信息：manage-account -D "cn=manager" -w ts get-account-is-disabled --targetDN "uid=wcadmin,ou=people,cn=AdministrativeLdap,cn=Windchill_11.2,o=ptc"
Account Is Disabled: false
• 禁用/启用账户
– 禁用账户：manage-account -h localhost -p 4444 -D "cn=Manager" -w ts -X set-account-is-disabled --operationValue true --targetDN "uid=kongwusun,ou=people,cn=AdministrativeLdap,cn=Windchill_11.2,o=ptc"
– 启用账户：manage-account -h localhost -p 4444 -D "cn=Manager" -w ts clear-account-is-disabled --targetDN "uid=kongwushun,ou=people,cn=AdministrativeLdap,cn=Windchill_10.0,o=ptc"
性能
可以快速查看 /logs:
BIND RES conn=5 op=2 msgID=23 result=0 authDN="uid=wcadmin,ou=people,cn=AdministrativeLdap,cn=Windchill_11.2,o=ptc" etime=0
其中，etime的值默认以毫秒（milliseconds）为单位，表示服务器处理请求的时间。过大的etime通常暗示服务器存在性能问题。
如果需要调整 LDAP 的 JVM运行参数，可以编辑 /config/java.properties， 然后使用dsjavaproperties命令使设置生效。具体示例可参考这里。
其他需要考虑的性能调优因素可以参考官方文档。
LDAP 浏览器
LDAP 浏览器可以连接到 LDAP 服务器，让我们可以方便的查看、搜索、编辑 LDAP 内容。JXplorer 就是这样一款免费的开源浏览器。当然，有很多其他的 LDAP 浏览器，大家可以自行下载尝试。
参考文献
1.
LDAP_百度百科
2.
/wiki/LightweightDirectoryAccess_Protocol
3.
LDAP for Rocket Scientists
4.
OpenDJ 3.5 > Administration Guide
