ldap介绍

LDAP介绍【摘要】在学习crm维护模块时，发现7层管理结构是存储在mysql的systree表中的，其实也可以使用LDAP来存储管理者的信息。

本文介绍了一些LDAP的基本概念，及如何用LDAP来管理维护模块的7层管理者结构，并介绍了LDAP与MYSQL 的区别。

【关键词】LDAP，维护模块1.LDAP简介在介绍LDAP之前，先简单介绍一下目录服务。

目录服务就是按照树状模式组织信息，实现信息管理和服务接口的一种方式。

目录服务中一般包括两个方面的内容：第一个是数据库，这种数据库有别于日常所用到的关系型数据库，它是一种分布型的数据库，并且需要一个描述数据的规则；第二个组成部分是：访问和处理数据库的相关的协议。

目录服务和关系数据库不同，目录服务不支持批量更新事务，目录一般只执行简单的更新操作，适合于进行大量数据的检索；目录具有广泛的复制信息的能力，从而在缩短响应时间的同时，提高了可用性和可靠性；目前，目录服务技术的国际标准有两个，即较早的X.500标准和近年迅速发展的LDAP标准。

目录数据库常用于管理树状组织结构信息，如行政，人事教育，政府部门，社会保障，公安，军队信息等。

LDAP是轻量目录访问协议，英文全称是Lightweight Directory Access Protocol，一般都简称为LDAP。

LDAP协议从1993年批准，有了V1版本，1997年发布了第三个版本LDAP v3，LDAP V3协议也不是一个单一的协议，而是一个协议群组，包括内容如下：RFC2251－LDAP V3协议核心协议，定义了LDAP V3协议的基本模型和操作；RFC2252－定义了LDAP V3基本数据模式(Schema)以及标准的系统数据模式,Schema 包括语法、匹配规则、属性类型和对象类；RFC2253－定义了LDAP V3中的分辨名(Differentiate Name, DN)表达方式；RFC2254－定义了LDAP V3中过滤器的表达方式；RFC2255－定义了LDAP V3中统一资源地址格式；RFC2256－定义了在LDAP V3中使用X.500的Schema列表；RFC2829－定义了LDAP V3的认证方式；RFC2830－定义了LDAP V3如何通过扩展使用TLS服务；RFC1823－定义了C的关于LDAP V3客户端开发接口；RFC2847－定义了LDAP数据导入、导出的文件接口LDIF；LDAP的应用主要包括以下几种类型。

信息安全类：数字证书管理、授权管理、单点登录；科学计算类：DCE(Distributed Computing Envirionment)、UDDI （Universal Description，Discovery and Integration）；网络资源管理类：MAIL系统、DNS系统、网络用户管理、电话号码簿；电子政务资源管理类：内网组织信息服务、电子政务目录体系、人口基础库等。

1.LDAP目录的优点LDAP目录主要面向数据的查询服务（查询和修改操作比一般是大于10:1），不提供事务的回滚（rollback）机制，它的数据修改使用简单的锁定机制实现All-or-Nothing，它的目标是快速响应和大容量查询并且提供多目录服务器的信息复制功能。

与关系型数据库相比，主要有以下几个有点：1)查询效率高目录数据库中的数据访问效率很高，从目录数据库服务器中读取数据时会比从关系型数据库中读取数据快一个数量级。

但是ldap目录的写性能比较差，对于读操作较多，写操作较少的数据，可以采用ldap，对于写操作很频繁的数据，还是使用关系数据库比较好。

2)复制数据方便LDAP服务器可以用"推"或"拉"的方法复制部分或全部数据。

复制技术是内置在LDAP服务器中的而且很容易配置。

如果要在DBMS中使用相同的复制功能，数据库产商就会要求支付额外的费用，而且也很难管理。

3)权限控制方便在LDAP中，可以使用访问控制列表（ACL）来控制对数据读和写的权限。

ACL可以根据谁访问数据、访问什么数据进行访问控制。

因为这些都是由LDAP目录服务器完成的，所以不用担心在客户端的应用程序上是否要进行安全检查。

2.LDAP基本模型LDAP定义了四种基本模型：信息模型：说明了LDAP目录中可以存储哪些信息；命名模型：说明了如何组织和引用LDAP目录中的信息；功能模型：说明了LDAP目录中的信息处理，特别是如何访问和更新信息；安全模型：说明如何保护LDAP目录中的信息不受非授权访问和修改。

1)信息模型在LDAP中信息以树状形式组织，在树状信息中基本的信息单元是条目，而每个条目由属性组成，属性中存储有属性的值；LDAP中的信息模式，类似于面向对象的概念，在LDAP 中每个条目必需属于某个或者多个对象类（Object Class）,每个Object Class由多个属性类型组成，每个属性类型有所对应的语法和匹配规则；对象类和属性类型的定义均可以使用继承的概念。

每个条目创建时，必须定义所属的对象类，必须提供对象类中的必选属性类型的属性值，在LDAP中一个属性类型可以对应多个值。

在LDAP中把对象类、属性类型、语法和匹配规则统称为Schema，在LDAP中有许多系统对象类、属性类型、语法和匹配规则，这些系统Schema在LDAP标准中进行了规定，不同的应用领域也定义了自己的Schema，同时用户在应用时，也可以根据需要自定义 Schema。

这有些类似于XML，除了XML标准中的XML定义外，每个行业都有自己标准的DTD或DOM定义，用户也可以自扩展。

2)命名模型在LDAP目录中，条目是按照树形结构组织的，根据条目在树形结构中的位置对条目进行命名，这样的命名通常称为标识（Distinguished name），简称DN。

DN由若干元素构成，每个元素称为相对标识（Relative distinguished name），简称RDN。

LDAP的命名模型与我们熟悉的文件系统有很多相似之处，RDN与文件系统中的文件名很相似，DN与文件的绝对路径名很相似。

另外，与文件系统一样，兄弟项目（即，具有相同父项目的子项目）必然具有不同的RDN。

3)功能模型LDAP的功能模型涉及以下三个方面：询问（Interrogation）LDAP在信息询问方面主要定义了查找（Search）和比较（Compare）两个操作。

在查找操作中，根据选取标准在指定范围内选择条目，这个选取标准通常称作查找过滤器（Search filter），并且可以规定一组需要返回的属性。

比较操作主要是判断指定条目是否包含指定属性（包括类型和值）。

更新（Update）LDAP在信息更新方面定义了新增（Add）、删除（Delete）、修改（Modify）和修改RDN （Modify RDN）等四个操作。

新增操作主要是在LDAP目录中插入一个新的条目。

删除操作主要是从LDAP目录中删除已有条目。

修改操作主要是修改已有条目的属性，具体地说，可以增加、删除、修改属性或属性值。

修改RDN操作主要是修改条目的名字。

身份验证（Authentication）LDAP在身份验证方面定义了连接（Bind）、断接（Unbind）和作废（Abandon）等三个操作。

连接操作主要是客户端向服务器提供身份信息，包括DN和口令，以便于服务器验证客户端的身份，身份验证成功即建立客户端与服务器之间的会话（session）。

断接操作主要是结束客户端与服务器的会话。

作废操作主要是中止正在执行的操作。

4)安全模型LDAP的安全模型是以客户端的身份信息为基础的。

客户端的身份信息通过连接操作提供给服务器，服务器根据身份信息对客户端提出的访问请求进行控制。

在LDAP中存在一个被称为访问控制列表（Access Control List，以下简称ACL）的文件，控制各类访问请求具有的权限。

ACL文件中的控制方式具有极大的弹性：即可以在大范围上控制某一类资源可以被某类甚至某个用户访问，还可以具体到资源类中的任何一个属性。

其授权的种类有读、搜索、比较、写这几种，可以单独，也可以组合使用。

详细的定制和完善ACL文件，可以使目录服务系统提供较好的安全性。

2.将LDAP应用于维护模块1)维护模块背景维护模块是为客服提供的一个日常工作的平台，该模块包括客户档案查询、报表统计、客户数据下载、工作计划等模块，可以帮助客服更便捷的找到客户数据，并进行统计分析。

在维护模块中，将用户分为7层结构，如下图所示：维护总部：维护总部包括渠道、直销和客服总部；大区：分为直销和渠道两个部分；区域：直销分为北京、上海等分公司，渠道分为华南、华东等区域；运营单位：运营单位指各个直销分公司和渠道的一级代理商。

客服经理、客服组长、一线客服：运营单位中的相应客户管理和维护人员；在维护模块中，使用Mysql来管理这7层结构，将7层结构信息存储在systree表中，systree的表结构如下：其中，path用于存储7层管理结构路径，为80位数字，每10位代表一个级别，分别为总部，大区，区域，运营单位，客服经理，客服组长，一线客服，二级帐号。

前7级为CRM行政级别，二级帐号为shifen中账号。

2)建立目录结构如果用LDAP来实现维护的7层结构，基准DN可以用cn=shifencs。

在描述其他节点，如大区、区域、运营单位、客服经理、一线客服时，可以用OU，OU表示“Organization Unit"，在X.500协议中是用来表示公司内部的机构：销售部、财务部等等。

现在LDAP还保留ou这样的命名规则。

在描述账号名时，可以使用CN（Common Name）。

维护的7层结构可以用如下树形结构描述：3)数据操作首先以OPENLDAP为例，介绍如何在命令行方式下对数据进行操作。

添加操作可以使用ldapadd命令来插入一个条目，-x表示用简单验证，-D表示指定目录，-W表示显示密码输入提示–f表示指定的ldif文件。

命令如下：ldapadd -x -D "cn= Zongbu,dc=my-domain,dc=com" -W -f temp.ldiftemp.ldif文件格式如下，第一行为dn，后面是条目的属性。

Ldif是目录的文本表示方式，可以用来从目录服务器导出数据或者向目录服务器导入数据。

LDIF文件只包含ASCII文本。

✓修改操作Ldapmodify命令可以修改条目的属性，例如：ldapmodify -x -D " cn=Zongbu,dc=my-domain,dc=com " -W -f modify.ldif此命令给条目“cn=大区3”添加了一个属性 ou=大区✓查询操作显示出所有条目的命令：ldapsearch -x -b "dc=my-domain,dc=com" "(objectclass=*)"其中，objectclass=* 为过滤条件，此条件可以过滤出所有条目查找某个节点ldapsearch -x -b "cn=总部,dc=my-domain,dc=com" "cn=大区3"ldapsearch -x -b "cn=鎬婚儴,dc=my-domain,dc=com" "cn=澶у尯3"此命令查询出cn=大区3的条目ldapsearch -x -b "cn=总部,dc=my-domain,dc=com" "ou=大区"ldapsearch -x -b "cn=鎬婚儴,dc=my-domain,dc=com" "ou=澶у尯"此命令查询出ou=大区的条目✓删除操作Ldapdelete命令用来删除一个条目，用法如下：ldapdelete -x -D "cn=Zongbu,dc=my-domain,dc=com" -W "cn=大区3,cn=总部,dc=my-domain,dc=com"ldapdelete -x -D "cn=Zongbu,dc=my-domain,dc=com" -W "cn=澶у尯3,cn=鎬婚儴,dc=my-domain,dc=com"此命令可以删除条目" cn=大区3,cn=总部,dc=my-domain,dc=com"以上介绍的是用命令行的方式来操作数据，下面介绍如何在java中编程实现数据操作，主要介绍JNDI(Java Naming and Directory Interface)方式。