当前位置: 首页 > 工具软件 > OpenLDAP > 使用案例 >

OpenLDAP的基本概念

汲雅珺
2023-12-01

LDAP

  • LDAP只是专门用于查找的一种数据库。 读取速度快,但支持写入,但速度相对较慢。 这就是为什么LDAP通常用于存储集中式用户帐户的原因。
  • 在LDAP中,数据是存储的节点(很像关系DB中的记录)。 每个节点都有一些命名属性。 例如,代表用户的节点可能具有以下属性(cn代表“通用名”,而sn代表“姓”):


cn: Kent Tong
sn: Tong
givenName: Kent
email: kent@ttdev.com
  • 就像数据库中的记录或Java中的对象一样,节点可以具有的属性是固定的。 这由名为objectClass的属性指定。 例如,有一个名为“ person”的对象类,它说它可以具有cn,sn和email,然后一个属于该“ person”类的节点可以具有以下属性:
cn: Kent Tong
sn: Tong
email: kent@ttdev.com
objectClass: person
  • 一个节点可能属于多个对象类。 例如,可能有一个名为“ securityObject”的对象类,它说它可以具有一个密码属性,然后,如果需要将密码放入节点中,则可以这样做:
cn: Kent Tong
sn: Tong
email: kent@ttdev.com
objectClass: person
objectClass: securityObject
password: abc123
  • 如何使用节点表示部门或公司? 这是通过“ organizationalUnit” objectClass(“ ou”代表“ organizational unit”)完成的:
ou: Foo Ltd.
objectClass: organizationalUnit

ou: Finance dept
objectClass: organizationalUnit
  • 如果通通先生在那个财务部门,该如何表示这种关系? 与相对的数据库用外键表示这种关系不同,在LDAP中,一个节点可以放在另一个节点下作为子节点。 例如,让我们将人员节点作为财务部门节点的子节点,而财务部门节点作为公司节点的子节点:
dn: ou=Foo Ltd.
ou: Foo Ltd.
objectClass: organizationalUnit

dn: ou=Finance dept,ou=Foo Ltd.
ou: Finance dept
objectClass: organizationalUnit

dn: cn=Kent Tong,ou=Finance dept,ou=Foo Ltd.
cn: Kent Tong
sn: Tong
email: kent@ttdev.com
objectClass: person
  • 这种父子关系由称为“ dn”(专有名称,就像文件的完整路径)的属性表示。 也就是说,您可以从节点的dn确定父节点的dn。
  • 通常,您将cn添加到父节点的dn中以获得节点本身的dn。 但是,您不必使用cn。 您可以随意使用任何属性来实现该目的(称为“相对dn”),只要该属性在兄弟姐妹之间是唯一的即可。 例如,如果没有两个人的cn值相同,则cn很好。 这样,在给定dn的情况下,定位节点非常快。
  • 创建目录的顶级节点时,需要指定其dn。 通常,您将使用公司的DNS域名(假设它是foo.com):
dn:dc=foo,dc=com
ou: Foo Ltd.
objectClass: organizationalUnit

dn: ou=Finance dept,dc=foo,dc=com
ou: Finance dept
objectClass: organizationalUnit

dn: cn=Kent Tong,ou=Finance dept,dc=foo,dc=com
cn: Kent Tong
sn: Tong
email: kent@ttdev.com
objectClass: person
  • 其中dc表示“域组件”,只是域名中的标签。
  • 一些对象类(例如person或organizationalUnit)被设计为用作节点的“主要”对象类,而其他一些对象类(例如securityObject)(正式称为“ simpleSecurityObject”)被设计为“辅助”对象,而被添加到节点。 前者被称为“结构对象类”,而后者被称为“辅助对象类”。
  • 对于每个节点,它必须只有一个结构对象类 。 它可以具有零个或多个辅助对象类。

架构图

  • 属性和对象类是定义的,而不是硬编码的。 对于Debian上的OpenLDAP,可以在/ etc / ldap / schema中找到模式。 例如,您可以在core.schema中找到以下对象类:
objectclass ( 2.5.6.6 NAME 'person'
        DESC 'RFC2256: a person'
        SUP top STRUCTURAL
        MUST ( sn $ cn )
        MAY ( userPassword $ telephoneNumber $ seeAlso $ description ) )
  • 它说它必须具有'sn'和'cn'属性,并可能具有'userPassword'属性等。它说其超类是'top',它是代表最顶层对象类的内置对象类。 。 它还说“人”对象类是结构类。
  • 您可以在此处找到最常用的对象类和属性。

使用LDAP进行身份验证

  • 一种简单的方法是根据用户名检索节点,获取密码并将其与用户输入的密码进行比较。
  • 但是,这允许通过服务通过网络检索任何用户的敏感信息(密码)。 因此,还有另一种方法:将dn和密码发送到LDAP服务,然后让它执行检查。 这称为对该dn的“绑定”。 本质上,您是作为特定节点登录的。
  • 以上两种方法都将以明文方式传输密码。 因此,在访问LDAP服务时(使用ldaps://),您可能应该使用TLS。
  • 上述方法是其他服务(例如邮件,Samba或Apache)最常用于检查用户密码的方法。
  • 使用OpenLDAP执行管理时,您可以使用上面的“绑定”方法以代表管理员的节点身份登录。 这称为“简单身份验证”:
# ldapsearch -x -W -D cn=admin,dc=foo,dc=com ...
  • 但是,有时将身份验证为不是管理员身份而不是目录中的节点更为方便。 例如,如果您的站点使用Kerberos,则可以使用OpenLDAP执行单点登录。 这通过其SASL支持来完成。 SASL反过来支持许多机制,例如PLAIN(纯文本),GSSAPI(Kerberos),EXTERNAL(使用带有TLS的客户端证书之类的传输)。 当SASL进行身份验证时,OpenLDAP将组成一个dn来代表您的身份。 例如,对于Kerberos域foo.com中的用户Kent,伪造的dn将为uid = kent,cn = foo.com,cn = gssapi,cn = auth。 这是授予权限所必需的。

在Debian上设置并运行OpenLDAP

  • 在Debian上设置OpenLDAP时,您需要重新配置软件包,以便它为您以及代表管理员的节点创建初始目录:
# dpkg-reconfigure -p low openldap
  • 然后,要检查其是否正常运行,可以使用SASL EXTERNAL机制,并使用Unix域套接字(ldapi:///)作为root用户连接到它:
# ldapsearch -b cn=config -H ldapi:/// -Y external

询问

  • 就像关系数据库一样,您可以执行查询来检索节点及其属性。 例如,您可以尝试在dn为dc = foo,dc = com(搜索的“基础”)的节点下查找所有带有cn = Kent Tong(“过滤器”)的节点:
# ldapsearch -b dc=foo,dc=com -H ldapi:/// -Y external 'cn=Kent Tong'
  • 您可以尝试查找其objectClass为'person'且cn包含单词'Kent'的所有节点:
# ldapsearch -b dc=foo,dc=com ... "(&(objectClass=person)(cn=*Kent*))"
  • 您可能会告诉它仅检索某些属性:
# ldapsearch -b dc=foo,dc=com ... "(&(objectClass=person)(cn=*Kent*))" dn sn

更新数据

  • 要添加新节点,请确保已存在父节点,然后在文本文件(称为LDIF文件)中指定dn和其他属性,并将其标记为“添加”请求:
dn: cn=Paul Chan,ou=Finance dept,dc=foo,dc=com
changetype: add
cn: Paul Chan
sn: Chan
email: paul@ttdev.com
objectClass: person
  • 然后将LDIF文件输入ldapmodify:
# ldapmodify < myfile.ldif
  • 要修改(添加,更改或删除)现有节点的属性,请首先指定该节点,然后列出每个属性更改,并用包含单个连字符的行将它们分开。 最后,以空行结束节点:
dn: cn=Kent Tong,ou=Finance dept,dc=foo,dc=com
changetype: modify
add: givenName
givenName: Kent
-
replace: email
email: kent@foo.com
-
delete: phoneNumber
  • 删除节点:
dn: cn=Paul Chan,ou=Finance dept,dc=foo,dc=com
changetype: delete

参考:来自JCG合作伙伴 Kent Tong 的OpenLDAP基本概念,来自Kent Tong在信息技术博客上的个人想法

翻译自: https://www.javacodegeeks.com/2013/03/basic-concepts-of-openldap.html

 类似资料: