1.1. LDAP是什么
LDAP是輕量目錄訪(fǎng)問(wèn)協(xié)議，英文全稱(chēng)是Lightweight Directory Access Protocol，一般都簡(jiǎn)稱(chēng)為L(cháng)DAP。它是基于X.500標準的，但是簡(jiǎn)單多了并且可以根據需要定制。與X.500不同，LDAP支持TCP/IP，這對訪(fǎng)問(wèn)Internet是必須的。LDAP的核心規范在RFC中都有定義，所有與LDAP相關(guān)的RFC都可以在LDAPman RFC網(wǎng)頁(yè)中找到。
簡(jiǎn)單說(shuō)來(lái)，LDAP是一個(gè)得到關(guān)于人或者資源的集中、靜態(tài)數據的快速方式。
LDAP是一個(gè)用來(lái)發(fā)布目錄信息到許多不同資源的協(xié)議。通常它都作為一個(gè)集中的地址本使用，不過(guò)根據組織者的需要，它可以做得更加強大。
1.2. LDAP是電話(huà)簿
LDAP其實(shí)是一電話(huà)簿，類(lèi)似于我們所使用諸如NIS(Network Information Service)、DNS (Domain Name Service)等網(wǎng)絡(luò )目錄，也類(lèi)似于你在花園中所看到的樹(shù)木。
1.3. LDAP是不是數據庫
不少LDAP開(kāi)發(fā)人員喜歡把LDAP與關(guān)系數據庫相比，認為是另一種的存貯方式，然后在讀性能上進(jìn)行比較。實(shí)際上，這種對比的基礎是錯誤的。LDAP和關(guān)系數據庫是兩種不同層次的概念，后者是存貯方式（同一層次如網(wǎng)格數據庫，對象數據庫），前者是存貯模式和訪(fǎng)問(wèn)協(xié)議。LDAP是一個(gè)比關(guān)系數據庫抽象層次更高的存貯概念，與關(guān)系數據庫的查詢(xún)語(yǔ)言SQL屬同一級別。LDAP最基本的形式是一個(gè)連接數據庫的標準方式。該數據庫為讀查詢(xún)作了優(yōu)化。因此它可以很快地得到查詢(xún)結果，不過(guò)在其它方面，例如更新，就慢得多。
從另一個(gè)意義上 LDAP是實(shí)現了指定的數據結構的存貯，它是一種特殊的數據庫。但是LDAP和一般的數據庫不同，明白這一點(diǎn)是很重要的。 LDAP對查詢(xún)進(jìn)行了優(yōu)化，與寫(xiě)性能相比LDAP的讀性能要優(yōu)秀很多。
就象Sybase、Oracle、Informix或Microsoft的數據庫管理系統（DBMS）是用于處理查詢(xún)和更新關(guān)系型數據庫那樣，LDAP服務(wù)器也是用來(lái)處理查詢(xún)和更新LDAP目錄的。換句話(huà)來(lái)說(shuō)LDAP目錄也是一種類(lèi)型的數據庫，但不是關(guān)系型數據庫。要特別注意的是，LDAP通常作為一個(gè)hierarchal數據庫使用，而不是一個(gè)關(guān)系數據庫。因此，它的結構用樹(shù)來(lái)表示比用表格好。正因為這樣，就不能用SQL語(yǔ)句了。
2. LDAP的特點(diǎn)
2.1. LDAP的優(yōu)勢
2.1.1 跨平臺
LDAP最大的優(yōu)勢是：可以在任何計算機平臺上，用很容易獲得的而且數目不斷增加的LDAP的客戶(hù)端程序訪(fǎng)問(wèn)LDAP目錄。而且也很容易定制應用程序為它加上LDAP的支持。
LDAP協(xié)議是跨平臺的和標準的協(xié)議，因此應用程序就不用為L(cháng)DAP目錄放在什么樣的服務(wù)器上操心了。實(shí)際上，LDAP得到了業(yè)界的廣泛認可，因為它是Internet的標準。產(chǎn)商都很愿意在產(chǎn)品中加入對LDAP的支持，因為他們根本不用考慮另一端（客戶(hù)端或服務(wù)端）是怎么樣的。LDAP服務(wù)器可以是任何一個(gè)開(kāi)發(fā)源代碼或商用的LDAP目錄服務(wù)器（或者還可能是具有LDAP界面的關(guān)系型數據庫），因為可以用同樣的協(xié)議、客戶(hù)端連接軟件包和查詢(xún)命令與LDAP服務(wù)器進(jìn)行交互。與LDAP不同的是，如果軟件產(chǎn)商想在軟件產(chǎn)品中集成對DBMS的支持，那么通常都要對每一個(gè)數據庫服務(wù)器單獨定制。
2.1.2 費用及維護
不象很多商用的關(guān)系型數據庫，你不必為L(cháng)DAP的每一個(gè)客戶(hù)端連接或許可協(xié)議付費。
大多數的LDAP服務(wù)器安裝起來(lái)很簡(jiǎn)單，也容易維護和優(yōu)化。
2.1.3 復制技術(shù)
LDAP服務(wù)器可以用"推"或"拉"的方法復制部分或全部數據，例如：可以把數據"推"到遠程的辦公室，以增加數據的安全性。復制技術(shù)是內置在LDAP服務(wù)器中的而且很容易配置。如果要在DBMS中使用相同的復制功能，數據庫產(chǎn)商就會(huì )要你支付額外的費用，而且也很難管理。
2.1.4 允許使用ACI
LDAP允許你根據需要使用ACI（一般都稱(chēng)為ACL或者訪(fǎng)問(wèn)控制列表）控制對數據讀和寫(xiě)的權限。例如，設備管理員可以有權改變員工的工作地點(diǎn)和辦公室號碼，但是不允許改變記錄中其它的域。ACI可以根據誰(shuí)訪(fǎng)問(wèn)數據、訪(fǎng)問(wèn)什么數據、數據存在什么地方以及其它對數據進(jìn)行訪(fǎng)問(wèn)控制。因為這些都是由LDAP目錄服務(wù)器完成的，所以不用擔心在客戶(hù)端的應用程序上是否要進(jìn)行安全檢查。
2.2. LDAP存儲什么數據
LDAP對于這樣存儲這樣的信息最為有用：也就是數據需要從不同的地點(diǎn)讀取，但是不需要經(jīng)常更新。例如，這些信息存儲在LDAP目錄中是十分有效的：
l 公司員工的電話(huà)號碼簿和組織結構圖
l 客戶(hù)的聯(lián)系信息
l 計算機管理需要的信息，包括NIS映射、email假名，等等
l 軟件包的配置信息
l 公用證書(shū)和安全密匙
2.3. 什么時(shí)候該用LDAP存儲數據
大多數的LDAP服務(wù)器都為讀密集型的操作進(jìn)行專(zhuān)門(mén)的優(yōu)化。因此，當從LDAP服務(wù)器中讀取數據的時(shí)候會(huì )比從專(zhuān)門(mén)為OLTP優(yōu)化的關(guān)系型數據庫中讀取數據快一個(gè)數量級。也是因為專(zhuān)門(mén)為讀的性能進(jìn)行優(yōu)化，大多數的LDAP目錄服務(wù)器并不適合存儲需要需要經(jīng)常改變的數據。例如，用LDAP服務(wù)器來(lái)存儲電話(huà)號碼是一個(gè)很好的選擇，但是它不能作為電子商務(wù)站點(diǎn)的數據庫服務(wù)器。
如果下面每一個(gè)問(wèn)題的答案都是"是"，那么把數據存在LDAP中就是一個(gè)好主意。
l 需要在任何平臺上都能讀取數據嗎？
l 每一個(gè)單獨的記錄項是不是每一天都只有很少的改變？
l 可以把數據存在平面數據庫（flat database）而不是關(guān)系型數據庫中嗎？換句話(huà)來(lái)說(shuō)，也就是不管什么范式不范式的，把所有東西都存在一個(gè)記錄中（差不多只要滿(mǎn)足第一范式）。
最后一個(gè)問(wèn)題可能會(huì )唬住一些人，其實(shí)用平面數據庫去存儲一些關(guān)系型的數據也是很一般的。例如，一條公司員工的記錄就可以包含經(jīng)理的登錄名。用LDAP來(lái)存儲這類(lèi)信息是很方便的。一個(gè)簡(jiǎn)單的判斷方法：如果可以把保數據存在一張張的卡片里，就可以很容易地把它存在LDAP目錄里。
3. LDAP的基本模型
3.1 信息模型：描述LDAP的信息表示方式
在LDAP中信息以樹(shù)狀方式組織，在樹(shù)狀信息中的基本數據單元是條目，而每個(gè)條目由屬性構成，屬性中存儲有屬性值；LDAP中的信息模式，類(lèi)似于面向對象的概念，在LDAP中每個(gè)條目必須屬于某個(gè)或多個(gè)對象類(lèi)（Object Class），每個(gè)Object Class由多個(gè)屬性類(lèi)型組成，每個(gè)屬性類(lèi)型有所對應的語(yǔ)法和匹配規則；對象類(lèi)和屬性類(lèi)型的定義均可以使用繼承的概念。每個(gè)條目創(chuàng )建時(shí)，必須定義所屬的對象類(lèi)，必須提供對象類(lèi)中的必選屬性類(lèi)型的屬性值，在LDAP中一個(gè)屬性類(lèi)型可以對應多個(gè)值。
在LDAP中把對象類(lèi)、屬性類(lèi)型、語(yǔ)法和匹配規則統稱(chēng)為Schema，在LDAP中有許多系統對象類(lèi)、屬性類(lèi)型、語(yǔ)法和匹配規則，這些系統Schema在LDAP標準中進(jìn)行了規定，同時(shí)不同的應用領(lǐng)域也定義了自己的Schema，同時(shí)用戶(hù)在應用時(shí)，也可以根據需要自定義Schema。這有些類(lèi)似于XML，除了XML標準中的XML定義外，每個(gè)行業(yè)都有自己標準的DTD或DOM定義，用戶(hù)也可以自擴展；也如同XML，在LDAP中也鼓勵用戶(hù)盡量使用標準的Schema，以增強信息的互聯(lián)互通。
在Schema中最難理解的是匹配規則，這是LDAP中為了加快查詢(xún)的速度，針對不同的數據類(lèi)型，可以提供不同的匹配方法，如針對字符串類(lèi)型的相等、模糊、大于小于均提供自己的匹配規則。
3.2 命名模型：描述LDAP中的數據如何組織
LDAP中的命名模型，也即LDAP中的條目定位方式。在LDAP中每個(gè)條目均有自己的DN和RDN。DN是該條目在整個(gè)樹(shù)中的唯一名稱(chēng)標識，RDN是條目在父節點(diǎn)下的唯一名稱(chēng)標識，如同文件系統中，帶路徑的文件名就是DN，文件名就是RDN。
3.3 功能模型：描述LDAP中的數據操作訪(fǎng)問(wèn)
在LDAP中共有四類(lèi)10種操作：查詢(xún)類(lèi)操作，如搜索、比較；更新類(lèi)操作，如添加條目、刪除條目、修改條目、修改條目名；認證類(lèi)操作，如綁定、解綁定；其它操作，如放棄和擴展操作。除了擴展操作，另外9種是LDAP的標準操作；擴展操作是LDAP中為了增加新的功能，提供的一種標準的擴展框架，當前已經(jīng)成為L(cháng)DAP標準的擴展操作，有修改密碼和StartTLS擴展，在新的RFC標準和草案中正在增加一些新的擴展操作，不同的LDAP廠(chǎng)商也均定義了自己的擴展操作。
3.4 安全模型：描述LDAP中的安全機制
LDAP中的安全模型主要通過(guò)身份認證、安全通道和訪(fǎng)問(wèn)控制來(lái)實(shí)現。
3.4.1 身份認證
在LDAP中提供三種認證機制，即匿名、基本認證和SASL（Simple Authentication and Secure Layer）認證。匿名認證即不對用戶(hù)進(jìn)行認證，該方法僅對完全公開(kāi)的方式適用；基本認證均是通過(guò)用戶(hù)名和密碼進(jìn)行身份識別，又分為簡(jiǎn)單密碼和摘要密碼認證；SASL認證即LDAP提供的在SSL和TLS安全通道基礎上進(jìn)行的身份認證，包括數字證書(shū)的認證。
3.4.2 通訊安全
在LDAP中提供了基于SSL/TLS的通訊安全保障。SSL/TLS是基于PKI信息安全技術(shù)，是目前Internet上廣泛采用的安全服務(wù)。LDAP通過(guò)StartTLS方式啟動(dòng)TLS服務(wù)，可以提供通訊中的數據保密性、完整性保護；通過(guò)強制客戶(hù)端證書(shū)認證的TLS服務(wù)，同時(shí)可以實(shí)現對客戶(hù)端身份和服務(wù)器端身份的雙向驗證。
3.4.3 訪(fǎng)問(wèn)控制
雖然LDAP目前并無(wú)訪(fǎng)問(wèn)控制的標準，但從一些草案中或是事實(shí)上LDAP產(chǎn)品的訪(fǎng)問(wèn)控制情況，我們不難看出：LDAP訪(fǎng)問(wèn)控制異常的靈活和豐富，在LDAP中是基于訪(fǎng)問(wèn)控制策略語(yǔ)句來(lái)實(shí)現訪(fǎng)問(wèn)控制的，這不同于現有的關(guān)系型數據庫系統和應用系統，它是通過(guò)基于訪(fǎng)問(wèn)控制列表來(lái)實(shí)現的，無(wú)論是基于組模式或角色模式，都擺脫不了這種限制。
在使用關(guān)系型數據庫系統開(kāi)發(fā)應用時(shí)，往往是通過(guò)幾個(gè)固定的數據庫用戶(hù)名訪(fǎng)問(wèn)數據庫。對于應用系統本身的訪(fǎng)問(wèn)控制，通常是需要建立專(zhuān)門(mén)的用戶(hù)表，在應用系統內開(kāi)發(fā)針對不同用戶(hù)的訪(fǎng)問(wèn)控制授權代碼，這樣一旦訪(fǎng)問(wèn)控制策略變更時(shí)，往往需要代碼進(jìn)行變更?？傊痪湓?huà)，關(guān)系型數據庫的應用中用戶(hù)數據管理和數據庫訪(fǎng)問(wèn)標識是分離的，復雜的數據訪(fǎng)問(wèn)控制需要通過(guò)應用來(lái)實(shí)現。
而對于LDAP，用戶(hù)數據管理和訪(fǎng)問(wèn)標識是一體的，應用不需要關(guān)心訪(fǎng)問(wèn)控制的實(shí)現。這是由于在LDAP中的訪(fǎng)問(wèn)控制語(yǔ)句是基于策略語(yǔ)句來(lái)實(shí)現的，無(wú)論是訪(fǎng)問(wèn)控制的數據對象，還是訪(fǎng)問(wèn)控制的主體對象，均是與這些對象在樹(shù)中的位置和對象本身的數據特征相關(guān)。
在LDAP中，可以把整個(gè)目錄、目錄的子樹(shù)、制定條目、特定條目屬性集或符合某過(guò)濾條件的條目作為控制對象進(jìn)行授權；可以把特定用戶(hù)、屬于特定組或所有目錄用戶(hù)作為授權主體進(jìn)行授權；最后，還可以定義對特定位置（例如IP地址或DNS名稱(chēng)）的訪(fǎng)問(wèn)權。
4. LDAP數據結構
LDAP是實(shí)現了指定的數據結構的存貯，它包括以下可以用關(guān)系數據庫實(shí)現的結構要求：樹(shù)狀組織、條目認證、類(lèi)型定義、許可樹(shù)形記錄拷貝。
4.1 樹(shù)狀組織
無(wú)論是X500還是LDAP都是采用樹(shù)狀方式進(jìn)行記錄。每一個(gè)樹(shù)目錄都有一個(gè)樹(shù)根的入口條目，子記錄全部是這一根條目的子孫。這是目錄與關(guān)系數據類(lèi)型最大的區別（關(guān)系數據庫的應用結構也可實(shí)現樹(shù)狀記錄）。因此，把目錄看作是更高級的樹(shù)狀數據庫也未嘗不可，只不過(guò)除此外，它不能實(shí)現關(guān)系存貯的重要功能。
4.2 條目和條目認證
LDAP是以條目作為認證的根據。ROOT的權限認證與目錄本身無(wú)關(guān)，但除此外所有條目的認證權限由條目本身的密碼進(jìn)行認證。LDAP可以配置成各種各樣不同的父子條目權限繼承方式。
每一個(gè)條目相當于一個(gè)單一的平面文本記錄，由條目自身或指定的條目認證進(jìn)行訪(fǎng)問(wèn)控制。因此，LDAP定義的存貯結構等同于一批樹(shù)狀組織的平面數據庫，并提供相應的訪(fǎng)問(wèn)控制。
條目中的記錄以名-值對的形式存在，每一個(gè)名值對必須由數據樣式schema預定義。因此，LDAP可以看作是以規定的值類(lèi)型以名值對形式存貯在一系列以樹(shù)狀組織的平面數據庫的記錄的集合。
4.3 數據樣式（schema）
數據樣式schema是針對不同的應用，由用戶(hù)指定（設計）類(lèi)和屬性類(lèi)型預定義，條目中的類(lèi)(objectclass)和屬性必須在在LDAP服務(wù)器啟動(dòng)時(shí)載入內存的schema已有定義。因此，AD活動(dòng)目錄中的條目記錄就必須符合Active Directory的schema中。如果已提供的schema中的定義不夠用，用戶(hù)可以自行定義新的schema.
在http://ldap.akbkhome.com/index.php中可以看到常用的schema。
4.4 對象類(lèi)型(objectClass)
因為L(cháng)DAP目錄可以定制成存儲任何文本或二進(jìn)制數據，到底存什么要由你自己決定。LDAP目錄用對象類(lèi)型（objectclass）的概念來(lái)定義運行哪一類(lèi)的對象使用什么屬性。在幾乎所有的LDAP服務(wù)器中，你都要根據自己的需要擴展基本的LDAP目錄的功能，創(chuàng )建新的對象類(lèi)型或者擴展現存的對象類(lèi)型。
條目中的記錄通過(guò)objectclass實(shí)現分類(lèi)，objectClass是一個(gè)繼承性的類(lèi)定義，每一個(gè)類(lèi)定義指定必須具備的屬性。如某一條目指定必須符合某個(gè)類(lèi)型，則它必須具備超類(lèi)所指定的屬性。
通過(guò)objectclass分類(lèi)，分散的條目中的記錄就實(shí)際上建立了一個(gè)索引結構，為高速的讀查詢(xún)打下了基礎。Objectclass也是過(guò)濾器的主要查詢(xún)對象。
4.5 過(guò)濾器和語(yǔ)法
LDAP是一個(gè)查詢(xún)?yōu)橹鞯挠涗浗Y構，無(wú)論是何種查詢(xún)方式，最終都由過(guò)濾器缺點(diǎn)查詢(xún)的條件。過(guò)濾器相當于SQL中的WHERE子句。任何LDAP的類(lèi)過(guò)濾和字符串都必須放在括號內，如（objectclass=*）,指列出所有類(lèi)型的記錄（不過(guò)分類(lèi)）。
可以使用=，>=，<=，~=（約等于）進(jìn)行比較，如(number<=100)。合并條件是最怪的，必須把操作符放在兩個(gè)操作對象的前面而不是中間，單一操作對象用括號括起來(lái)。如
l A與B，不是A&B，而是（&(A)(B)）。
l 或使用"|"表示；
l 非使用"！"表示。
l 對于"與"，或"或"在操作符后可以跟多個(gè)條件表達式，但非后則只參是單個(gè)表達式。
詳見(jiàn)RFC1558。
4.6 樹(shù)移植
LDAP最重要的特性和要求并不是讀性能，而是擴展性。這一特性是通過(guò)樹(shù)移植和樹(shù)復制實(shí)現的。按LDAP的RFC要求，LDAP目錄應該可以任意地在不同的目錄間連接、合并并實(shí)現自動(dòng)復制，及自動(dòng)性同步。這意味著(zhù)用戶(hù)可以在任一LDAP中訪(fǎng)問(wèn)條目，而不用管其中某一部分是否復制自全世界另一目錄中的記錄，同時(shí)另一目錄中的記錄同樣在正常運作。
這一特性如果在關(guān)系數據庫中實(shí)現，意味著(zhù)要使用程序化的非規范化預復制。類(lèi)似于匯總帳目的設計。
4.7 LDIF交換文件
LDIF是LDAP約定的記錄交換格式，以平面文本的形式存在，是大部分LDAP內容交換的基礎，如拷貝、添加、修改等操作，都是基于LDIF文件進(jìn)行操作。
4.8 JAVA或CORBA對象串行化存儲
網(wǎng)絡(luò )高效率的訪(fǎng)問(wèn)加上JAVA的跨平臺能力，當把JAVA或CORBA對象串行化后存儲到LDAP目錄上時(shí)，可以產(chǎn)生非同一般的集成效果--實(shí)際上，這正是EJB和.NET的網(wǎng)絡(luò )定位基礎技術(shù)。
使用JAVA或CORBA對象存儲時(shí)，必須首先讓LDAP服務(wù)支持該對象定義，也就是說(shuō)包含qmail.schema或corba.schema。
JAVA必須存儲在objectclass=javacontainer的條目中，而且必須帶有cn屬性，這意味著(zhù)除非該JAVA類(lèi)專(zhuān)門(mén)實(shí)現了DirContext接口，對于大多數JAVA類(lèi)來(lái)說(shuō)，只能采用DirContext代替Context實(shí)現bind的添加操作。取出JAVA類(lèi)相對要簡(jiǎn)單得多，只需使用context.lookup()獲得該對象的句柄，然后強制造型成所需要的對象就可以了,如：
Person p=(Person)contex.lookup("cn=elvis,dc=daifu,dc=com");
這個(gè)句法在EJB的程序中，是經(jīng)常用到的。
使用CORBA的跨語(yǔ)言性質(zhì)，使用CORBA存儲對象比JAVA更加誘人，這意味著(zhù)所存儲的對象可以被任何語(yǔ)言編寫(xiě)的客戶(hù)端訪(fǎng)問(wèn)。其實(shí)，微軟的.net說(shuō)到底也非常簡(jiǎn)單，無(wú)非是把COM對象存儲到微軟自家的目錄ActiveDirectory里面，從而可以在網(wǎng)絡(luò )范圍內使用任何微軟平臺的語(yǔ)言進(jìn)行對象訪(fǎng)問(wèn)而已。眾所周知，COM就是與CORBA相對的微軟規范。
使用對象串行化技術(shù)，可以把常用對象如某個(gè)打印機，某個(gè)客戶(hù)直接存儲到LDAP中，然后快速獲取該對象的引用，這樣，就比把對象信息存儲到關(guān)系數據庫中，分別取出屬性，然后再初始化對象操作的做法，效率要高得多了。這是LDAP目前比普通關(guān)系數據庫存儲要優(yōu)秀的地方，而對象數據庫還不成熟。
聯(lián)系客服
