Marvin's Blog【程式人生】

Ability will never catch up with the demand for it

09 Aug 2021

LDAP的一些阅读笔记

想了解一下LDAP,于是乎打开Google,搜了一下LDAP ,看了一些首页的文章。

LDAP: Explained

LDAP用来从Directory Service获取数据。

也就是说,LDAP获取的是目录中的利息。而目录是一种通用的抽象的慨念,可以是一个储存企业信息的目录,一个储存设备信息的目录,一个储存用户信息的目录。

数据是以层级结构存储在DIT(Directory Informatino Tree)中的。

LDAP基于DAP(Directory Access Protocol),由OSI的x.500定义。DAP比较繁琐,LDAP较轻量化(L代表Lightweight),并且能够在TCP/IP协议上良好运行。

LDAP一个典型的用例是中心化的用户的验证和授权。即有一个中心的用户目录服务于和用户相关的各种操作,提供用户相关的各种信息。

LDAP协议是CS结构。一个客户端到服务端的会话叫做一个’binding’。客户端提供代表用户的凭证,然后服务端判定其真伪。

LDAP可以分解为4个模型:

  • Information Model
    • 每个目录包含若干条目(entries)
    • 每个条目代表某种标的
    • 条目包含若干属性,用于描述标的
  • Naming Model
    • 条目具有DN(Distinguished Name),代表条目在DIT中索引路径
    • DN由RDN(Relative DN)构成,每个RDN占据条目的一个属性
  • Functional Model
    • Query功能用于获取信息
    • Update功能用于更新信息
    • Authentication功能只是用于验证用户的凭证
    • 具体操作为
      • Search,以用户定义的准绳来搜索数据并返回结果
      • Compare, 请求服务端对条目的某属性进行比对
      • Update,请求更改信息
        • Delete,删除条目
        • Add,添加条目
        • Modify,修改条目的属性
      • Bind,搭建客户端到服务端会话
      • Unbind,终止会话
      • Abandon,请求服务端废止一个正在进行的操作
  • Security Model
    • Binding由几种选项
      • No Authentication (也就是不验证用户)
      • Basic Authentication
        • 客户端需要提供DN以及密码作为验证
        • 密码是明文发送
      • SASL, Simple Authentication and Security Layer

LDAP通常和AD(Active Directory)混谈。但前者是协议,后者是服务。AD提供组策略(Group Policy (GPO)),可以允许管理员控制Windows设备以及SSO(Single Sign-On)。这两个服务都不出现在LDAP的功能列表中。

LDAP自己不带加密功能。LDAPS(Secure LDAP)通过SSL/TLS为LDAP提供加密通信。

RADIUS提供和LDAP类似功能,不过RADIUS无法储存用户信息;LDAP无法提供审计用的MFA功能,但是RADIUS提供。一个变通的办法是通过LDAP向RADIUS提供用户目录信息。云端的RADIUS默认提供基于x.509的802.1x/EAP-TLS验证服务。

基于证书的验证方式 越来越流行了。

LDAP FAQs提供一些Windows上使用LDAP的小技巧。

What is LDAP and how does it work?

LDAP的初始目标是提供一个DAP的轻量化替代。

AD(Active Directory)是微软开发的用于Windows域网络。

一个典型的LDAP配置以树形组织,如下实例:

  • 根目录
    • 国家目录
    • 组织或者公司目录
    • 分区,部门或者其他组织单元
    • 人员,文件以及其他共享资源(打印机,计算机等等)

LDAP数据组件来完成(myriad of tasks)

  • 属性attributes
  • 条目entries
  • 数信树(Data Information Tree)
  • 形式(Schemas)

和SAML相比,LDAP通常是on-premise部署的。Kerberos则是SSO协议。

What Is LDAP & How Does It Work?

过。

Lightweight Directory Access Protocol (LDAP)

MFA为Multi Factor Authentication之缩写。

The Difference Between Active Directory and LDAP

Kerberos Authentication Explained

过。

Wikipedia Directory service

https://en.wikipedia.org/wiki/Directory_service#LDAP_implementations列举了一些LDAP的实现。

Wikipedia Lightweight Directory Access Protocol

列举了一个条目的属性合集的例子:

 dn: cn=John Doe,dc=example,dc=com
 cn: John Doe
 givenName: John
 sn: Doe
 telephoneNumber: +1 888 555 6789
 telephoneNumber: +1 888 555 1232
 mail: john@example.com
 manager: cn=Barbara Doe,dc=example,dc=com
 objectClass: inetOrgPerson
 objectClass: organizationalPerson
 objectClass: person
 objectClass: top

dn为distinguished name;cn为此项的RDN,dc含义为Domain Component。

Wikipedia X.500

竟然是1988年就制定了的,有以下协议:

  • Directory Access Protocol
  • Directory System Protocol
  • Directory Information Shadowing Protocol
  • Directory Operational Bindings Management Protocol
  • Certificaste Authority Subscription Protocol
  • Authorization Validation Management Protocol
  • Trust Broker Protocol

原本是基于OSI通信协议模型。

虽然IETF重新制定了通信协议,但X.500的数据模型似乎延续了下来。

其他

(本篇完)

Categories

Tags