ldap端口和协议类型（ldap协议概念介绍）

博文微金融 • 2022-12-27 20:36:00 • 投稿

1 基本概念

LDAP是一个基于X.500标准的轻量目录访问协议，全称为Lightweight Directory Access Protocol。

目录服务：一个特殊的数据库，用来保存描述性的、基于属性的详细信息，支持过滤功能，动态灵活且易扩展的。目录是一个为查询、浏览和搜索而优化的数据库，它成树状结构组织数据，类似文件目录一样。
目录数据库的特点：以树状结构存储数据，读取速度快，写入速度慢。没有事务处理、回滚等复杂功能，不适于存储修改-频繁的数据。
LDAP是开放的标准化协议，受到广泛支持。它以树形用户目录为存储结构，对组织管理建模符合通常认知。

1.1 LDAP = 目录数据库 + 访问协议

LDAP采用client-server模型，服务器用于存放数据，客户端用于操作数据。LDAP协议的具体实现总结如下表：

1.2 数据模型

在LDAP中，信息以树状方式组织，在树状信息中的基本数据单元是条目，而每个条目由属性构成，属性中存储有属性值。

以下结合一个OpenLDAP里面的数据来解释下相关术语

Entry

条目，也叫记录项，是LDAP中最基本的颗粒，就像字典中的词条，或者是数据库中的记录。通常对LDAP的添加、删除、更改、检索都是以条目为基本对象的。（注意：一个Entry可以是一个User也可以是一个OU也可以是一个Group都行）

dn：每一个条目都有一个唯一的标识名（distinguished Name ，DN）（相当于一个表里面会有一个唯一的标识字段）。通过DN的层次型语法结构，可以方便地表示出条目在LDAP树中的位置，通常用于检索。

rdn：一般指dn逗号最左边的部分，如cn=dev1。

它与RootDN不同，RootDN通常与RootPW同时出现，特指管理LDAP中信息的最高权限用户。

Base DN：LDAP目录树的最顶部就是根(这树目录树的根节点)，也就是所谓的“Base DN”，如图：”dc=landingzone,dc=com”。

Attribute

每个条目都可以有很多属性（Attribute），比如常见的人都有姓名、地址、电话等属性。每个属性都有名称及对应的值，属性值可以有单个、多个，比如你有多个邮箱。

属性不是随便定义的，需要符合一定的规则，而这个规则可以通过schema制定。比如

那针对posixGroup的类型，属性的修改就得这样

objectClass：表示这个Entry的类型，这块是由Schema定义出来的，需要有哪些属性。后面可以编辑这个Entry扩展一些属性。

LDAP为人员组织机构中常见的对象都设计了属性(比如commonName，surname)。下面有一些常用的别名：

属性	别名	语法	描述	值(举例)
commonName	cn	Directory String	姓名	sean
surname	sn	Directory String	姓	Chow
organizationalUnitName	ou	Directory String	单位（部门）名称	IT_SECTION
organization	o	Directory String	组织（公司）名称	example
telephoneNumber		Telephone Number	电话号码	110
objectClass			内置属性	organizationalPerson

ObjectClass

对象类是属性的集合，LDAP预想了很多人员组织机构中常见的对象，并将其封装成对象类。

比如：

人员（person）含有姓（sn）、名（cn）、电话(telephoneNumber)、密码(userPassword)等属性

单位职工(organizationalPerson)是人员(person)的继承类，除了上述属性之外还含有职务（title）、邮政编码（postalCode）、通信地址(postalAddress)等属性。

通过对象类可以方便的定义条目类型。每个条目可以直接继承多个对象类，这样就继承了各种属性。如果2个对象类中有相同的属性，则条目继承后只会保留1个属性。对象类同时也规定了哪些属性是基本信息，必须含有(Must 活Required，必要属性)：哪些属性是扩展信息，可以含有（May或Optional，可选属性）。

对象类有三种类型：结构类型（Structural）、抽象类型(Abstract)和辅助类型（Auxiliary）。结构类型是最基本的类型，它规定了对象实体的基本属性，每个条目属于且仅属于一个结构型对象类。抽象类型可以是结构类型或其他抽象类型父类，它将对象属性中共性的部分组织在一起，称为其他类的模板，条目不能直接集成抽象型对象类。辅助类型规定了对象实体的扩展属性。每个条目至少有一个结构性对象类。

Schema

对象类（ObjectClass）、属性类型（AttributeType）、语法（Syntax）分别约定了条目、属性、值

值的类型约束

TLS & SASL

分布式LDAP 是以明文的格式通过网络来发送信息的，包括client访问ldap的密码（当然一般密码已然是二进制的），SSL/TLS 的加密协议就是来保证数据传送的保密性和完整性。

SASL （Simple Authenticaion and Security Layer）简单身份验证安全框架，它能够实现openldap客户端到服务端的用户验证，也是ldapsearch、ldapmodify这些标准客户端工具默认尝试与LDAP服务端认证用户的方式（前提是已经安装好 Cyrus SASL）。SASL有几大工业实现标准：Kerveros V5、DIGEST-MD5、EXTERNAL、PLAIN、LOGIN。

Kerveros V5是里面最复杂的一种，使用GSSAPI机制，必须配置完整的Kerberos V5安全系统，密码不再存放在目录服务器中，每一个dn与Kerberos数据库的主体对应。DIGEST-MD5稍微简单一点，密码通过saslpasswd2生成放在sasldb数据库中，或者将明文hash存到LDAP dn的userPassword中，每一个authid映射成目录服务器的dn，常和SSL配合使用。参考将 LDAP 客户端配置为使用安全性。

LDIF

LDIF（LDAP Data Interchange Format，数据交换格式）是LDAP数据库信息的一种文本格式，用于数据的导入导出，每行都是“属性: 值”对。

2 LDAP服务器搭建

LDAP=目录数据库+访问协议。因此要实现LDAP登录，首先要搭建一套自己的LDAP服务器，以供开发过程的自测，以及提测后的测试。然而LDAP服务器厂商众多，本次主要挑选Linux环境的OpenLDAP服务器，搭建过程和遇到的一些问题总结如下。

2.1 OpenLDAP服务器的搭建

环境准备

准备一台Linux主机并安装有docker环境。建议直接购买一台云服务器，镜像可以选择如Docker运行环境(CentOS7.2 64位），这样自带docker环境免安装。

通过docker来搭建

docker run --name ldap-server \
        --hostname ldap-server \
		-p 389:389 -p 636:636 \
		--detach \
		osixia/openldap:latest

docker run --name ldap-server \

--hostname ldap-server \

-p 389:389 -p 636:636 \

--detach \

osixia/openldap:latest

这个镜像是使用了自签凭证，使用 TLS 方式連線時會出現遠端憑證無效的錯誤。解决办法：

1、執行 docker cpldap-server:/container/service/slapd/assets/certs/ldap.crt . 將自動產生的自簽憑證複製到本機的當前目錄中。

2、安裝 ldap.crt 憑證到本機中，並設定為信任憑證 (或單獨設定信任 X509 初級規則)。

如果不想使用默认的凭证，也可以自动生成。比如通过OpenSSL自签名生成。另外这个镜像的证书位置

CA 憑證檔案路徑：/container/service/slapd/assets/certs/ca.crt
LDAP 憑證檔案路徑：/container/service/slapd/assets/certs/ldap.crt
LDAP 憑證 Key 檔案路徑：/container/service/slapd/assets/certs/ldap.key

CA 憑證檔案路徑：/container/service/slapd/assets/certs/ca.crt

LDAP 憑證檔案路徑：/container/service/slapd/assets/certs/ldap.crt

LDAP 憑證 Key 檔案路徑：/container/service/slapd/assets/certs/ldap.key

通过这个命令，创建出来的OpenLDAP会有几个默认参数

Port: 389 / 636 (TLS)
Admin DN: cn=admin,dc=example,dc=org
Admin Password: admin

Port: 389 / 636 (TLS)

Admin DN: cn=admin,dc=example,dc=org

Admin Password: admin

自定义凭证-生成自定义证书

1、通过openssl生成私钥

openssl genrsa -out server.key 1024

1	openssl genrsa -out server.key 1024

2、根据私钥生成证书申请文件csr

openssl req -new -key server.key -out server.csr

1	openssl req -new -key server.key -out server.csr

ps:Common Name可以输入：*.yourdomain.com，这种方式生成通配符域名证书

3、使用私钥对证书申请进行签名从而生成证书

openssl x509 -req -in server.csr -out server.crt -signkey server.key -days 3650

1	openssl x509 -req -in server.csr -out server.crt -signkey server.key -days 3650

自定义凭证-启动容器时挂载到容器

docker run --name ldap-server --hostname ldap-server -p 389:389 -p 636:636 --volume  /path/ssl:/container/service/slapd/assets/certs --detach osixia/openldap:latest

1	docker run --name ldap-server --hostname ldap-server -p 389:389 -p 636:636 --volume /path/ssl:/container/service/slapd/assets/certs --detach osixia/openldap:latest

通过-v 挂载宿主机的目录到容器进而完成使用自定义证书。

通过环境变量修改一些自定义LDAP设定

LDAP_ORGANISATION：設定 LDAP 的組織名稱，預設為 Example Inc.。

LDAP_DOMAIN：設定 LDAP 的組織域名，預設為 example.org。

LDAP_ADMIN_PASSWORD：設定 LDAP 的管理員密碼，預設為 admin。

LDAP_TLS_VERIFY_CLIENT：設定 LDAP 是否驗證客戶端憑證，如想關掉可以設為 try，預設為 demand。

LDAP_TLS_CRT_FILENAME：LDAP SSL 憑證檔案名稱，預設為 ldap.crt。

LDAP_TLS_KEY_FILENAME：LDAP SSL 憑證 Key 檔案名稱，預設為 ldap.key。

LDAP_TLS_CA_CRT_FILENAME：CA 憑證檔案名稱，預設為 ca.crt。

搭建测试环境

为了简化后续操作，关闭TLS认证。就用下面这条启动指令：

docker run --name ldap-server --hostname ldap-server -p 389:389 -p 636:636  -e LDAP_TLS_VERIFY_CLIENT="try" -e LDAP_DOMAIN="landingzone.com" -e LDAP_ADMIN_PASSWORD="admin1" --detach osixia/openldap:latest

1	docker run --name ldap-server --hostname ldap-server -p 389:389 -p 636:636 -e LDAP_TLS_VERIFY_CLIENT="try" -e LDAP_DOMAIN="landingzone.com" -e LDAP_ADMIN_PASSWORD="admin1" --detach osixia/openldap:latest

搭建LDAP管理界面

docker run --name ldap-admin -p 6443:443 --link ldap-server:ldap-host --env PHPLDAPADMIN_LDAP_HOSTS=ldap-host --detach osixia/phpldapadmin:latest

1	docker run --name ldap-admin -p 6443:443 --link ldap-server:ldap-host --env PHPLDAPADMIN_LDAP_HOSTS=ldap-host --detach osixia/phpldapadmin:latest

如果是本地的话那就可以直接浏览器访问：https://localhost:6443 就可以打开界面了。相关登录账号与密码：

Admin DN（用户名）: cn=admin,dc=landingzone,dc=com

Admin Password（密码）: admin1

登录成功的界面

通过LDAP管理界面增删改LDAP数据

添加Entry

通过这个操作可以添加OU\Group\Account等企业内部的组织与员工信息。

本文来自作者:博文微金融，不代表小新网立场！

转载请注明：https://www.xiaoxinys.cn/354587.html

博文微金融注册用户

平潭旅游必去十大景点（平潭地貌新十景介绍）

上一篇 2022-12-27 20:35:00

惠若琪退役与药剂学专家杨臻博(惠若琪老公个人资料)

下一篇 2022-12-27 20:40:00

拼多多

保单的税优识别码在哪里查询

在手机上办理个人所得税退税时，有一项个人购买商业健康保险，可以每月扣除200元的所得额，一年可以扣除2400元。因为以前没填写过，为慎重起见，问了单位办税的同事。同事说，都没有人注…

书影
2023-01-17
延迟退休年龄一览表，关于退休年龄的最新消息和标准

当代大学生十分不容易，教育、学历、工作纷纷“卷”起来，几乎是从幼儿园开始，一直到参加工作，不停的学习，努力再努力，然而，大环境下，大学生就业形势严峻，研究生、公务员上岸都很难。刚…

天问谈创业
2023-02-06 • 百科知识
京东淘宝运营方法

淘宝、京东都在用的促活运营技巧，一看就会！连续签到3天可以获得100个京豆，100个京豆可以帮助用户购换商品，流量等。长期做下去，不仅可以提高用户活跃度，还可以起到留存的作用。 …

xz1080
2023-06-19 • 淘宝运营
百科知识

苹果appleid无法登陆是怎么回事（为什么appleid无法登录）

距离iOS 16系统测试版发布已经过去了一个多月，相信部分喜欢尝鲜的小伙伴都已经升级到了iOS 16系统。由于还是测试版阶段，当前的iOS 16系统也存在大大小小的Bug，比如第三…

落落
2022-11-29
互联网虚拟产品有哪些类目容易卖？怎么找到更赚钱的商品

一、虚拟产品种类很多朋友问我，互联网领域有没有适合新手干的项目，我必然推荐虚拟产品，因为成本较低，利润空间较大，不管什么时期，新手都有机会赚到第一桶金。那什么…

新哥创业说
创业经验 2022-09-24
百科知识

救援工作取得这些进展的成效，现场抢救成功的关键

中新网客户端北京3月25日电 25日，东航坠机的搜索工作进入第五天。事发过去100小时，现场搜救取得了哪些新进展？调查有何困难？家属的服务保障工作开展得怎么样？过去100小时 …

鬼斗车
2023-03-11
淘宝运营

淘宝直播有什么禁忌？要注意什么？

很多小伙伴们现在会通过直播来给自己店铺推广，而且直播也能够直接去带货，总之是非常不错的，但是大家做直播就是要遵守直播的规则，淘宝直播有什么禁忌? 淘宝直播有什么禁忌? 1.这里先从…

电商百晓生
2023-02-13
投稿

你对我好我心里都知道是什么歌（儿歌你曾对我好我心里都知道）

1、“你对我好我心里都知道”这首歌的名字叫《爸爸妈妈听我说》。 2、《爸爸妈妈听我说》是一首童声演唱的歌曲，由彭野填词作曲，演唱者是段丽阳。 3、这首歌唱出了小朋友的心声，整首歌以…

Mr麦哥
2022-12-01
台式电脑品牌排名（中国品牌台式电脑排名）

如果您正在寻找最好的台式 PC，我们推荐Dell XPS Desktop 8950。当然，它是您可以买到的最好的戴尔台式机，但其强大的英特尔处理器和可选的独立 Nvidia 或 A…

常悦销售向薪力
2022-12-11 • 百科知识
加水印的app哪个好用（这2款软件简单又实用）

不知道大家平时在平台上传分享图片的时候，会给你们的图片做上记号吗？比如说为了自己辛辛苦苦拍摄的劳动成果能不被他人挪用，我们通常都会给图片添加水印。那么你们知道添加水印的软件哪个好吗…

整理侠
投稿 2022-12-06
蝴蝶效应告诉我们什么道理成语

近期发生多起中国赴美留学访学人员被遣返事件，引发关注。外交部发言人汪文斌3日在例行记者会上回答相关提问时说，美方无理滋扰中国学生学者，严重伤害两国人民感情，冲击中美互信与合作。 …

科技无忧
2023-04-14 • 投稿
百科知识

最能打动顾客的十句话名句（一句话让客户不拒绝你）

现在很多人都开始学会自己做生意了，那么做生意最重要的是什么了?当然就是顾客了，如何打动自己的顾客成为了很多做生意人最关心的问题，本次就给大家带来最能打动顾客的十句话，学会了这些保证…

二手车教授
2023-01-13