OpenLDAP、什么是目录服务、OpenLDAP简介、LDAP的基本模型、目录树概念、（DC、UID、OU、CN、SN、DN、RDN、c、o）、LDAP的使用

2.OpenLDAP
2.1.什么是目录服务
2.2.OpenLDAP简介
2.3.LDAP的基本模型
2.3.1.目录树概念
2.3.2.DC、UID、OU、CN、SN、DN、RDN、c、o
2.4.LDAP的使用

2.OpenLDAP

2.1.什么是目录服务

目录是一类为了浏览和搜索数据的特殊的数据库，目录服务是按照树状形式存储信息的，目录包含基于属性的描述性信息，并支持高级的过滤功能，例如：最知名的的微软公司的活动目录（active directory）就是目录数据库的一种。目录服务时按照梳妆形式存储信息的，目录包含基于属性的描述性信息，并且支持高级的过滤功能。
一般来说，目录不支持大多数事务性数据库所支持的高吞吐量和复杂的更新操作，目录服务适合的业务应用在于提供大量的查询和搜索操作，而不是大量的写入。LDAP可以说是活动目录在Linux上的一个开源实现。
为了保证目录数据的可用性和卡可靠性，她们在确保提供快速的查询和搜索操作的同时，还提供了主从服务器同步目录数据信息的能力，这相当于传统的Mysql数据库的主从同步一样，可以最大限度的确保基于目录业务的持续可用性。
广义的目录服务概念，可以有多重不同的方式来提供目录服务，不同的目录所允许存储的信息是不同的，在信息如何被引用，查询，更新以及防止未经守群的访问等问题上，不同的目录所允许存储的信息是不同的，在信息如何被引用，查询，更新以及防止未经授权的访问等问题上，不同的目录的处理方式也有诸多的不同。一些目录服务时为本地的，只提供受限的服务，（比如，单机上的finger服务）。另一些服务时大范围的（global），提供广阔得多的服务（比如面向整个因特网）。大范围的服务通常是分布式的，这也就意味着数据是分布在多台机器上的，这些计数器一起来提供目录服务。典型的大范围服务定义一个统一的名称空间（namespace）来给出一个相同的数据试图（data view），而不管你相对于数据所在的位置。DNS是一个典型的大范围分布式目录服务的例子。

2.2.OpenLDAP简介

LDAP是一款轻量级目录访问协议（Lightweight Directory Access Protocol，简称LDAP），属于开源集中账号管理架构的实现，且支持众多系统版本，被广大互联网公司所采用。

LDAP提供并实现目录服务的信息服务，目录服务是一种特殊的数据库系统，对于数据的读取、浏览、搜索有很好的效果。目录服务一般用来包含基于属性的描述性信息并支持精细复杂的过滤功能，但OpenLDAP目录服务不支持通用数据库的大量更新操作所需要的复杂的事务管理或回滚策略等。

LDAP具有两个标准，分别是X.500和LDAP。OpenLDAP是基于X.500标准的，而且去除了X.500复杂的功能并且可以根据自我需求定制额外扩展功能，但与X.500也有不同之处，例如OpenLDAP支持TCP/IP协议等，目前TCP/IP是Internet*问互联网的协议。

OpenLDAP可以直接运行在更简单和更通用的TCP/IP或其他可靠的传输协议层上，避免了在OSI会话层和表示层的开销，使连接的建立和包的处理更简单、更快，对于互联网和企业网应用更理想。

OpenLDAP目录中的信息是以树状的层次结构来存储数据（这很类同于DNS），最顶层即根部称作“基准DN”，形如“dc=mydomain,dc=org”或者“o=mydomain.org”，前一种方式更为灵活也是Windows AD中使用的方式。在根目录的下面有很多的文件和目录，为了把这些大量的数据从逻辑上分开，OpenLDAP像其它的目录服务协议一样使用OU（Organization Unit，组织单元），可以用来表示公司内部机构，如部门等，也可以用来表示设备、人员等。同时OU还可以有子OU，用来表示更为细致的分类。

OpenLDAP中每一条记录都有一个唯一的区别于其它记录的名字DN（Distinguished Name）,其处在“叶子”位置的部分称作RDN(用户条目的相对标识名)。如dn:cn=tom,ou=animals,dc=ilanni,dc=com中cn即为RDN，而RDN在一个OU中必须是唯一的。

OpenLDAP默认以Berkeley DB作为后端数据库，BerkeleyDB数据库主要以散列的数据类型进行数据存储，如以键值对的方式进行存储。

BerkeleyDB是一类特殊的面向查询进行优化、面向读取进行优化的数据库，主要用于搜索、浏览、更新查询操作，一般对于一次写入数据、多次查询和搜索有很好的效果。BerkeleyDB不支持事务型数据库(MySQL、MariDB、Oracle等)所支持的高并发的吞吐量以及复杂的事务操作。

2.3.LDAP的基本模型

每一个系统、协议都会有属于自己的模型，LDAP也不例外，在了解LDAP的基本模型之前我们需要先了解几个LDAP的目录树的概念：

2.3.1.目录树概念

1、目录树：在一个目录服务系统中，整个目录信息集可以表示为一个目录信息树，树中的每个节点是一个条目。
2、条目：每个条目就是一条记录，每个条目有自己的唯一可区别的名称（DN）。
3、对象类：与某个实体类型对应的一组属性，对象类是可以继承的，这样父类的必须属性也会被继承下来。
4、属性：描述条目的某个方面的信息，一个属性由一个属性类型和一个或多个属性值组成，属性有必须属性和非必须属性。

2.3.2.DC、UID、OU、CN、SN、DN、RDN、c、o

关键字	英文全称	含义
dc	Domain Component	域名的部分，其格式是将完整的域名分成几部分，如域名为example.com变成dc=example,dc=com（一条记录的所属位置）
uid	User Id	用户Id zuoquantu (一条记录的ID)
ou	Organization Unit	组织单位，组织单位可以包含在其他各种对象（包括其他组织单位），如”oa组” （一条记录的所属组）
cn	Common Name	公共名称，如“Thomas Johansson”（一条记录的名称）
sn	Surname	姓，如”许”
dn	Distinguished Name	“uid=songtao.xu,ou=oa组,dc=example,dc=com”,一条记录的位置（唯一）
rdn	Relative dn	相对辨别名，类似于文件系统中的相对路径，它是与目录树结构无关的部分，如“uid=tom”或“cn= Thomas Johansson”
c	Country	国家，如”CN”或”US”等
o	Organization	组织名，如：”*质检总局”

2.3.3.基本模型

2.3.3.1.信息模型

在LDAP中信息以树状方式组织，在树状信息中的，基本数据单元是条目，而每个条目由属性构成，属性中存储有属性值

2.3.3.2.命名模型

LDAP中的命名模型，也即LDAP中的条目定位方式。在LDAP中每个条目均有自己的DN。DN是该条目在整个树中的唯一名称标识，如同文件系统中，带路径的文件名就是DN。

2.3.3.3.功能模型

在LDAP*有四类10中操作：查询类操作，如搜索、比较；更新类操作，如添加条目、删除条目、修改条目名；认证类操作，如绑定、解绑定；其它操作，如放弃和扩展操作。除了扩展操作，另外9种是LDAP的标准操作；扩展操作是LDAP中为了增加新的功能，提供的一种标准的扩展框架，当前已经成为了LDAP标准的扩展操作，有修改密码和StartTLS扩展，在新的RFC标准和草案中增加一些新的扩展操作，不同LDAP厂商也均定义了自己的扩展操作。

2.3.3.4.安全模型

LDAP中的安全模型主要通过身份认证、安全通道和访问控制来实现。

2.4.LDAP的使用

那我们是如何访问LDAP的数据库服务器呢？

统一身份认证主要是改变原有的认证策略，使需要认证的软件都通过LDAP进行认证，在统一身份认证之后，用户的所有信息都存储在AD Server中。终端用户在需要使用公司内部服务的时候，都需要通过AD服务器的认证。
那么程序中是如何访问的呢？ 我们以PHP脚本作为例子：

$ldapconn = ldap_connect(“10.1.8.78")
$ldapbind = ldap_bind($ldapconn, 'username', $ldappass);
$searchRows= ldap_search($ldapconn, $basedn, "(cn=*)");
$searchResult = ldap_get_entries($ldapconn, $searchRows);
ldap_close($ldapconn);

1、连接到LDAP服务器
2、绑定到LDAP服务器
3、在LDAP服务器上执行所需的任何操作
4、释放LDAP服务器的连接

2.5.相关网址

官网首页：https://www.openldap.org/

下载地址：https://www.openldap.org/software/download/