LDAP目录服务

本文目录导读：

1. 什么是目录服务？
2. 什么是 LDAP？
3. LDAP 目录的结构（树状结构）
4. LDAP 的核心操作
5. LDAP vs. 关系型数据库
6. 常见的 LDAP 服务器软件
7. LDAP 的典型应用场景
8. 总结：你应该记住的 LDAP 要点

这是一个关于 LDAP（轻量级目录访问协议） 和 目录服务 的全面解析，LDAP 是现代企业 IT 基础架构中用于身份认证、用户管理和资源查找的核心技术。

什么是目录服务？

想象一下,你手里有一本巨大的电话簿，电话簿就是一种“目录服务”——它按照姓名（或类别）来组织信息，让你能快速找到某个人的电话号码、地址等。

在计算机网络中,目录服务 就是一个专门用来存储、组织和查找资源信息的数据库。

• 资源可以是：用户、计算机、打印机、组、共享文件夹、网络设备等。
• 特点：它读操作远多于写操作（查电话本的多，改电话本的少），并且要求查询速度极快。

什么是 LDAP？

LDAP 是 Lightweight Directory Access Protocol 的缩写，即 轻量级目录访问协议。

• 它不是软件，而是一种通信协议（一种语言），就像 HTTP 用于浏览网页，SMTP 用于发邮件一样，LDAP 定义了一个标准的方法，让客户端（比如你的电脑、应用程序）去访问一个目录服务器。
• “轻量级” 指的是它比它的前身 X.500 DAP 协议更简单、更高效，适合在 TCP/IP 网络上运行。

核心公式： LDAP = 操作目录服务器的标准语言

LDAP 目录的结构（树状结构）

LDAP 目录信息以 树形结构 或称为 目录信息树（DIT，Directory Information Tree） 存储，这与关系型数据库（如 MySQL）的表格完全不同。

树上的每个节点被称为一个 条目（Entry）。

每个条目由许多 属性（Attribute） 组成，并且拥有一个全局唯一的 可分辨名称（DN，Distinguished Name）。

我们来拆解一个经典的例子：

假设有一家名为 example 的公司，其 LDAP 目录可能长这样：

DN: dc=example, dc=com          (树的根，代表整个公司)
    |
    +-- DN: ou=People            (组织单元，代表所有员工)
    |       |
    |       +-- DN: uid=zhangsan, ou=People, dc=example, dc=com
    |       |       (用户条目)
    |       |       - 属性: cn （通用名称） = '张三'
    |       |       - 属性: sn （姓氏） = '张'
    |       |       - 属性: mail （邮箱） = 'zhangsan@example.com'
    |       |       - 属性: userPassword （密码） = '...'
    |       |
    |       +-- DN: uid=lisi, ou=People, dc=example, dc=com
    |
    +-- DN: ou=Groups            (组织单元，代表所有用户组)
            |
            +-- DN: cn=Developers, ou=Groups, dc=example, dc=com
                    - 属性: member （成员） = uid=zhangsan, ou=People, dc=example, dc=com

关键概念解释：

1. 属性 (Attribute)：描述信息的键值对。mail: zhangsan@example.com，每个属性有预定义的类型（如 mail, uid, cn）。
2. 条目 (Entry)：一个对象（一个用户、一个打印机、一个组）。
3. 可分辨名称 (DN)：全局唯一的标识符，是从根到该条目的完整路径。uid=zhangsan, ou=People, dc=example, dc=com，你可以把它理解为文件的绝对路径。
4. 相对可分辨名称 (RDN)：在父条目下唯一的部分。uid=zhangsan RDN。
5. 对象类 (ObjectClass)：定义了条目必须包含哪些属性。inetOrgPerson 类要求必须有 cn 和 sn 属性。

LDAP 的核心操作

LDAP 协议主要定义了几种简单的操作：

• Bind：认证，客户端向服务器发送自己的身份（通常是用户的DN和密码），服务器验证身份。
• Search：查询，最常用的操作，根据给定的过滤条件（如 (&(objectClass=person)(mail=*@example.com))）在目录子树中查找匹配的条目。
• Add：添加，在目录中创建新的条目（例如新员工入职）。
• Modify：修改，修改现有条目的属性值（例如修改密码）。
• Delete：删除，删除一个条目（例如员工离职）。
• Compare：比较，检查特定条目中某个属性的值是否等于给定值。

LDAP vs. 关系型数据库

一句话总结： 当你需要 “经常查询但不怎么修改树状结构的人员/资源信息，并且非常看重查询速度” 时，LDAP 是绝佳选择，当你需要处理复杂的业务逻辑、事务和报表时，请使用关系型数据库。

常见的 LDAP 服务器软件

• Microsoft Active Directory (AD)：最流行的商业实现，集成了很多微软生态功能（DNS, Kerberos, GPO），虽然它不完全等同于开源 LDAP，但 LDAP 是它的核心协议之一。
• OpenLDAP：最流行的开源 LDAP 服务器，免费、强大、高度可定制。
• Apache Directory Server (ApacheDS)：纯 Java 实现，易于嵌入。
• Oracle Internet Directory (OID) & IBM Tivoli Directory Server (TDS)：企业级商业解决方案。
• 360/FreeIPA：基于红帽身份管理（IdM）的开源集成方案，结合了 LDAP、Kerberos、DNS 和证书管理。

LDAP 的典型应用场景

1. 企业单点登录 (SSO)：用户只需登录一次（例如用 Windows 账号登录电脑），访问公司内网、邮箱、OA 系统、VPN 等所有应用时，这些应用都通过 LDAP 向同一个目录服务器验证你的身份。
2. 邮箱系统：几乎所有企业邮箱系统（Exchange, Zimbra, Postfix + Dovecot）都使用 LDAP 来查找用户邮箱地址、别名、服务器位置。
3. Unix/Linux 集中用户管理：通过 LDAP + NSS (Name Service Switch) 和 PAM (Pluggable Authentication Modules)，让成百上千台 Linux 服务器共享同一份用户账号和密码。
4. VPN 和 Wi-Fi 认证**：使用 LDAP 验证远程员工身份。
5. 数字证书和 PKI：存储和管理 X.509 数字证书。

你应该记住的 LDAP 要点

• LDAP 是用于访问和操作目录服务的协议。
• 它非常擅长快速查询，但不适合高频写入。
• 数据以树形结构组织，每个对象由唯一的 DN 标识。
• 不能直接用来存储图片、文档等大文件，它存储的是属性（键值对）。
• 无法像 SQL 那样进行复杂的事务控制或跨表 JOIN 查询。

希望这个解释能帮你建立起对 LDAP 目录服务的清晰理解，如果你想了解更深层的细节（Schema、Referral、Replication等），欢迎继续提问。