目录服务

1目录服务编辑
概念编辑
网络上,特别是互联网中有各型各类的主机,有各种各样的资源, 这些东西杂散在网络中, 需要有一定的机制来访问这些资源, 得到相关的服务, 于是就有了目录服务.
早期的目录服务主要是提供文件检索, NOVELL就是广为使用的目录服务器系统; 随着互联网的发展, 网站的定位又成了难题, 于是有了DNS服务,它也是典型的目录服务,即帮你做域名与IP地址之间的转换. NETMEETING也是目录服务器的服务内容之一, 对
NetMetting来说,其目录服务器主要是帮助定位用户状态信息的.
在WINDOWS体系中, AD(活动目录)功能强大, 是符合工业标准的目录服务器. 在UNIX或LINUX中,也有相应的目录服务器.
总结一下,目录服务器的主要功能是提供资源与地址的对应关系, 比如你想找一台网上的共享打印机或主机时, 你只需要知道名字就可以了, 而不必去关心它真正的物理位置. 而目录服务器帮助维护这样的资源-地址映射.
3管理概述编辑
目录服务是扩展计算机系统中最重要的组件之一。

虽然用户和管理通常不知道他们感兴趣对象的确切名称，但他们可能知道该对象的一个或几个属性，可以查询目录以获得一个匹配这些属性的对象列表。

目录服务可以：
·按照管理员的定义强制实施安全性以保持信息的安全，以防入侵者的攻击。

·在一个网络的多台计算机间分配目录，提供更高的性能。

·复制目录，以使更多的用户可以使用目录，同时有效地防止失败的发生。

·将目录划分为多个数据源（存储区），以便存储大量对象。

4工具编辑
随着网络中对象数量的增长，目录服务也变得越来越重要。

目录服务就像中心点，而一个大的分布式目录围绕该中心运作。

过去，目录服务主要用于命名和定位网络资源。

现在，这些功能得到了扩展，目录服务也变成Internet/Intranet 基础结构内的一个重要组件，提供类似参考目录、白页和黄页、电子邮件目录之类的服务。

目录服务还启用了在不同电子邮件系统之间传递和集成电子邮件的
目录服务
功能。

目录服务在应用程序集成所扮演的角色越来越重要，它就好像是一个涵盖了所有应用程序、访问和安全信息的中央存储库。

如今推出的许多应用程序中都启用了新型目录，它们将目录作为网络基础结构的一个重要组成部分。

目录被看作是一个具有特殊用途的自定义数据库，只要安全地连接到这个数据库，用户和应用程序便可以轻松地查找、读取、添加、删除和修改信息。

然后，此信息便可以自动分布到网络中的其他目录服务器。

这些启用了目录的应用程序依靠成熟的目录服务来执行其他三种关键角色：身份验证和授权、命名和定位，以及网络资源的支配和管理。

5作用编辑
目录服务是使目录中所有信息和资源发挥作用的服务，如用户和资源管理、基于目录的网络服务、基于网络的应用管理等！活动目录服务是将网络中的各种资源组合起来，进行集中管理，一方便网络资源的搜索，使企业可以轻松地管理复杂的网络环境。

6服务器编辑
目录服务是用于在全球范围内查找用户和商业伙伴的强大的搜索工具。

通讯簿支持LDAP （轻量级目录访问协议）访问目录服务，而且其内置功能可以访问最流行的几种目录服务。

您也可以从Internet 服务提供商那里添加附加的目录服务。

同Internet搜索工具一样，目录服务使用不同的方式收集数据，因此，当尝试联机查找个人或公司时，您可以尝试用多种服务，方便快捷。

添加目录服务
您需要服务器的名称以便将某个目录服务添加到通讯簿。

可以从目录服务提供者处获取此信息。

在通讯簿或Outlook Express 中，单击工具菜单，然后单击帐号。

在Outlook Express 中，选择目录服务选项卡，单击添加，单击目录服务，然后按照Internet目录服务器名(Internet Directory Server Name) 向导中的指示行事。

在通讯簿中，单击添加，然后按照Internet目录服务器名向导中的指示行事
设置目录服务器以检查电子邮件地址
记不住某人完整的电子邮件地址，可以输入一部分名称，然后使用工具菜单上的检查姓名命令来搜索匹配项。

Outlook Express 首先搜索通讯簿，如果未找到匹配项，再搜索您已经设置的目录服务以检查电子邮件地址。

在通讯簿或Outlook Express 中，单击工具菜单，然后单击帐号。

如果在Outlook Express 中，请单击目录服务选项卡。

选择一个目录服务，然后单击属性。

在常规选项卡上，选择发送邮件时根据此服务器检查名称复选框。

目录服务器简介
网络管理员使用目录管理用户帐户及网络资源。

从管理员的角度来看，目录服务类似于网络上的所有设备的清单。

通过使用图形界面或搜索任意设备的名称或某些属性(如“彩色打印机”)可查找其位置。

一旦找到设备的位置，管理员就可对设备进行控制(如禁用或防止某些用户
目录服务
访问该设备)。

目录是一个为查询、浏览和搜索而优化的专业分布式数据库，它成树状结构组织数据，就好象Linux/Unix系统中的文件目录一样。

目录数据库和关系数据库不同，它有优异的读性能，但写性能差，并且没有事务处理、回滚等复杂功能，不适于存储修改频繁的数据。

所以目录天生是用来查询的，就好象它的名字一样。

目录服务是由目录数据库和一套访问协议组成的系统。

DNS(域名系统)是目录服务的一种形式。

该系统保存有关域名的信息。

类似以下的信息适合储存在目录中：
企业员工和企业客户之类人员信息；
公用证书和安全密钥；
邮件地址、网址、IP等电脑信息；
电脑配置信息。

...
7数据库编辑
但它在很多方面不同于传统的数据库。

目录的组织是有层次的，其具有对象类及对象子类。

目录主要用于查找操作而不是用于连续的读取和写入。

信息并不像事务交易数据库一样经常进行更改。

因此，也很少考虑对目录服务数据库的分布式副本的经常更新。

目录服务
早期的目录服务标准为X.500(将在别处进行讨论)。

如今，Microsoft Windows 2000 Active Directory和Novell Directory Services(NDS)就是基于该模型构建的。

LDAP(简便目录访问协议)是重要的目录服务协议，它是IETF定义的访问目录的客户机/服务器协议。

LDAP用于访问X.500的目录服务，它不会产生目录访问协议（DAP）访问X.500时所需的资源要求。

本协议特别针对那些简单管理程序和浏览器程序，它们提供对X.500目录进行简单的读/写交互式访问，同时它也是对DAP本身的一种补充。

现在目录用于管理各种大量的信息，其中包括QoS、带宽管理策略、配置文件、电子商务信息及其他信息。

在用户的身份验证、防火墙过滤及VPN访问方面也起着重要的安全作用。

大多数目录产品现在将证书映射到目录中的用户帐户，并且目录能够为用户提供一次注册。

DEN(目录运行网络)是解决基于策略的连网及可互用的网络问题的目录服务的倡议。

目录在电子商务和企业对企业之间的关系中扮演着重要的角色。

目录可保存有关公司网络外部的人员的重要信息，用于鉴别这些人员并定义他们对于网络资源的访问权。

管理员可将策略应用于目录中的对象中以快速定义团体的访问权，如业务合作者。

目录服务提供一个公用位置以存储所有类型信息。

同时，某个组织可能由于安全性或商业原因想要拥有多个不同的目录。

元目录是单独的或综合的目录部分，可帮助链接多个不同的目录并使各目录中的信息同步。

LDAP起着连接其他目录的作用。

XML可提供表示需要在目录之间进行交流的信息的标准方法。

8结构操作编辑
X.500是在1988年由CCITT(现称为ITU-T)认可的一套目录服务标准。

它最初旨在与X.400传送消息标准一起使用。

如今，X.500主要充当商业产品的一种模型。

过去设计X.500的目的是使用OSI协议族，但是TCP/IP却成为了实际的网络协议。

因此，大多数目录服务如今以X.5OO为模型并设计用于在TCP/IP上运行。

LDAP是对X.500协议进行修改以在TCP/IP网络上运行的协议。

X.500是一个协议族，由一系列的概念和协议组成，包括：
X.501是模型定义，定义目录服务的基本模型和概念；
X.509是认证框架，定义如何处理目录服务中客户和服务器认证；
X.511是抽象服务定义，定义X.500提供的功能性服务；
X.518是分布式操作过程定义，定义如何跨平台处理目录服务；
X.519是协议规范，定义了X.500协议，包括DAP(Directory Access Protocol，目录访问协议)、DSP(Directory System Protocol，目录系统协议)、DOP(Directory Operator Protocol，目录操作绑定协议)、DISP(Directory Information Shadowing Protocol，目录信息阴影协议)；
X.520定义属性类型要求；
X.521定义对象类型；
X.525定义如果在目录服务器间复制内容。

X.500标准中定义了很多内容，包括：
定义了信息模型，确定目录中信息的格式和字符集，如何在项中表示目录信息(定义对象类、属性等模式)；
定义命名空间，确定对信息进行的组织和引用，如何组织和命名项-目录信息树DIT和层次命名模型；
定义功能模型，确定可以在信息上执行的操作；
定义认证框架，保证目录中信息的安全，如何实现目录中信息的授权保护-访问控制模型；
定义分布操作模型，确定数据如何分布和如何对分布数据执行操作，如何将全局目录树划分为管理域，以便管理。

9协议编辑
X.500倒置层次树如图D-24所示。

目录由称为容器或叶对象的项构成。

容器位于树的分枝上并保存其他容器和(或)叶对象。

叶对象表示现实世界的对象，如人、计算机、打印机及存储卷。

每个对象都有一个CN(公共名称)和属性(稍后讨论)。

DN(辨别名称)是定义组成从树顶端到对象的路径的所有容器的名称。

在图D-24中，Joe的DN是在数据库(逻辑目录树)中每个项都有一个对象类。

在图D-24中US和UK属于对象类“国家”，而Microsoft和BigCorp属于对象类“组织”。

Joe属于对象类“个人”。

cn=Joe，ou=Eng，o=Bigcorp，c=US
每个对象类具有一各特定的属性(也称为“特性”或“元素”)集合。

属性是数据库中可保存某值的基本字段。

“组织”项将会有描述公司的属性，而“个人”项将会有定义人的属性。

最常见的属性是“公共名称”、“地址”、“邮件”、“部门”、“电话:“传真”等等。

对象子类的概念是很重要的。

如果创建一个对象并赋予其某些属性，然后创建该对象下的子类，则子类将自动“继承”父对象的属性。

如果更改父对象，则其子类也将继承这些更改。

例如对象“打印机”将具有所有打印机的基本属性。

在该对象下是打印机的子类，如彩色打印机、整理打印机等。

这种设计为企业管理带来了很大益处，尤其是当机构增长或变化时。

由于X.500较复杂，且需严格遵照OSI七层协议模型。

造成应用开
目录服务
较困难。

所以开发了LDAP(简便目录访问协议)，以便在INTERNET上使用。

LDAP 是访问目录的通用协议。

它是客户机/服务器协议，其中客户机操作可添加和删除，或修改项，或只查询有关某项的数据库。

客户机还可通过指定它们正查找的对象的属性来搜索数据
库。

可将查询限定在树的某个特定分枝的范围。

例如，在图D-24中，可搜索数据库中的BigCorp项下的对象。

LDAP最大的优势是可以在任何计算机平台上，用很容易获得的而且数目不断增加的LDAP的客户端程序访问LDAP目录。

而且也很容易定制应用程序为它加上LDAP的支持。

10目录模式编辑
该模式是一种定义如何在目录数据库中表示现实世界中的对象(如人和计算机)的结构化模型。

它定义数据库的结构，数据库中对象的名称及这些对象的属性。

RFC 2251，“LDAPv3，”(December 1997)为该模式提供了很好的描述。

该模式类似于邮政编址模式。

邮政编址模式通过在信封上写上姓名、地址、城市、省份及ZIP编码来寻址。

在整个国家中统一使用使邮政系统运转良好的这种模式。

遗憾的是，大多数目录服务没有使用同一模式，所以将很难达到互用性。

目录服务，像Novell NDS，具有一组定义的对象(如“人”和“计算机”)，而管理员也可以制定他们自己的对象。

但是，一旦以这种方式“自定义”目录后，当两家公司合并或电子商务合作双方需要共享目录信息成为必要时，再将目录与其他目录合并使用将尤为困难。

需要使用元目录和转换方案(将在后面进行讨论)处理这种情况。

DEN(目录运行网络)倡议定义一种标准目录服务结构和模式，其可用于存储网络策略和交换机、路由器、服务器及其他设备的配置信息。

11元目录编辑
元目录通过充当对于其他目录服务的单个访问点为目录服务添加了可互用性。

它是一种中间件形式。

元目录为不同的目录服务提供了一种交换数据的方式。

可将元目录视为一种将目录连接到其中以交换信息的中央集线器。

元目录可以集成多种目录服务，有时还可以集成其他存储系统，如将数据库集成到统一的命名空间中。

元目录提供了一个集成化的一致视图，将先前相互隔离的信息集成到一个视图中。

另外，元目录还可以控制数据的更新方式。

例如，对于员工姓名更改，如果此更改由HR数据库引起，则元目录会视这些更改有效；如果这些更改由其他任何数据库或目录引起，则元目录将撤消这些更改。

Microsoft Metadirectory Service和Sun One Meta Directory 为元目录产品的不同例子。

Burton Group所编写的“元目录FAQ”中是这样描述:在1996年，Burton Group正式定义了“元目录”概念，它描述了联合、集中注册、属性流和其他目录服务的功能规范。

该术语源自数据库领域中的元数据。

元数据以目录卡描述图书馆中的书籍的相同形式描述数据库中的数据。

Burton Group社撰了术语“元目录”以描述当时出现的集成并转换多个目录服务中的信息的一个产品类别。

根据FAQ，“元目录服务合并了多个目录中信息的子集，其中包括有关人、团体、职能、组织单位、位置和其他资源的信息。

这种合并创建了组织中不同目录的联合或统一的视图。

元目录使得通过LDAP和基于Web的访问协议可访问联合视图”。

考虑单个用户在网上具有多个身份(如他(或她)的注册名和电子邮件名)是理解元目录的联合作用的最好方式。

元目录也可帮助解决组织内或商业伙伴之间建立的目录中的命名方
案中的差异问题。

所有这些都通过跟踪更改并确保相应更新这些更改信息的系统动态完成。

元目录有以下两种类型:
联合元目录在该方案中，将创建一个指向所有其他目录的单独目录。

管理员使用元目录，而无需使用每个单独引用的目录。

Isocor使用该方法。

目录服务
12虚拟编辑
在该方案中，不创建额外的目录。

相反，管理应用程序允许管理员直接使用各个目录，方法是通过索引映射模式提供目录的单个视图。

Entevo使用该方法。

目录服务
元目录解决了与应使用哪一种目录服务或(如果多个目录存在)哪一个应是顶级目录相关的政策问题。

Microsoft最初将其Active Directory设计为全控目录操作，但却发现这样需要支持不同种类的目录环境。

于是Microsoft由于Zoomit的Via元目录产品而收购了该公司并重新将其加工以创建“Microsoft元目录服务”。

Novell现在使用DirXML从遗留目录中获取目录信息。

DirXML依靠LDAP与其他目录进行连接，而XML作为信息交换的标准格式。

最终，互用性服务将毫无疑问地集成到目录服务中。

目录服务
13目录服务编辑
(目录服务标记语言)
DSML(Directory Services Markup Language)是LDAP目录和XML相结合的标记语言，它利用XML来定义数据内容和目录结构并将它保存在分布式目录上。

DSML将XML与目录进行集成。

它提供访问目录中信息、封装信息及通过企业网或因特网传输信息的方式。

DSML的主要思想是允许XML程序员能访问LDAP目录而不必写LDAP接口或使用某些目录访问API如微软的活动目录服务接口（ADSI）。

Bowstreet负责DSML，其受到主要的供应商(包括IBM、Microsoft、Novell、0racle、Netscape及Sun Microsystems)的支持。

DSML使基于XML的应用程序得以利用目录。

基本上，标准模式定义目录信息的内容和结构。

该信息进入可被传输到需要使用信息的其他应用程序的DCD(文档内容描述)中。

LDAP像通常一样用于访问目录信息，而DSML则为其他应用程序提供了解释目录信息的方法。

通过将DSML作为标准，就不需要为每个不同的目录编写自定义应用程序。

通过用XML表达目录信息，基于XML的任何应用程序都可以使用该信息。

DSML由结构化信息标准推进组织（OASIS）中的DSML工作小组开发，标准仍然很不成熟。

DSML 1.0已于1999年完成，它提供了用XML来表达数据模型和目录结构的标准方法，它最大局限在于不支持目录的查询和更新。

查询允许客户从目录中请求特定信息，如公司员工的姓名、电话号码等；更新指改变目录中的信息，如改变电话号码、删除记录、添加记录等。

如要查询和更新目录，只能使用LDAP接口或某些API如ADSI。

目录服务
DSML2.0草案标准于2001年12月发布，它用XML文档为应用程序建立一种标准方法，来读取、查询、更新和搜索目录。

DSML2.0能够定义运行在移动设备或PDA上的应用程序访问目录的方式，而且访问时无需专门的客户端；DSML2.0使程序员只用XML编程工具和技巧就可写出应用程序，而不需深入了解LDAP。

DSML1.0和DSML2.0在目录表示上的区别是：前者是表示目录的状态，而后者是表示LDAP所执行的操作及操作所产生的结果。

DSML2.0的设计方法是用XML文档片段来表示LDAP请求(request)和响应(response)，这些XML文档片段用作绑定（binding）时的有效载荷，绑定定义了请求和响应的文档片段是怎样以特定的方式（SOAP、SMTP、普通文件）传输的。

目录运行网络和策略管理基于策略的连网和目录正联合起来以提供管理和分配网络资源的中心位置，网络资源包括网络核心和边缘设备中的网络带宽。

通过合并基于策略的管理和目录，管理员可获得对网络设备管理的更多控制和管理多个网络QoS的能力。

目录中的策略规则可定义将被分配到某个具体人、团体或服务的QoS和通信路由选择的类型。

一个重要的概念是设备配置信息可从目录提供的层次管理方案中移到受益设备的目录中。

设备检查集中目录查找更新信息或策略更改，而不用依靠管理员一对一地将信息编程到设备中。

Novell的ZENworks for Networks是一种网络服务软件产品，该软件通过使用Novell 的NDS作为策略信息的储存库而自动进行策略管理。

该产品支持端到端QoS管理并使用网络设备，如主要网络供应商提供的交换机和路由器。

管理员可使用该软件为应用程序和用户分配带宽。

DEN将策略服务和目录服务合并到一个权威性、分布式智能信息储存库中。

14复制分区编辑
大多数目录服务支持复制和分区。

复制是一种将数据库复制到其他位置并确保更新和同步所有副本的方式。

分区将目录在树中分枝处进行拆分，以便拆分的目录块(如部门的所有对象)可位于其他位置(如部门)的服务器上。

复制和分区提供容错并允许用户访问附近的信息。

X.5OO定义了复制的主从数据库模型，其中所有的写入进入主副本，然后再从主副本写出到从副本中。

另一种方案是多主模型，其中所作的更改必须同时进入多个副本。

后一种模型被认为较难实施并容易丧失数据的完整性。

复制和分区提出了对同步的需要。

在一个数据库中所做的更改必须也要尽可能地在副本中进行更改。

如果很多管理员在不同的位置进行频繁的更新，则必须要更频繁地进行相应
的更新。

减少可进行更改的人员的数量有助于解决该问题。

幸运的是，目录主要“查找”服务，可允许较长时间更新延迟(与传统数据库相比)。

Novell使用时间戳表示哪些更新是最近发生的，而Microsoft的Active Directory使用顺序编号方案将某个编号分配给最新的更改。

15可用服务编辑
最重要的目录服务将在下面进行描述。

Microsoft Active Directory Novell NDS是两种主要的目录服务。

Active Directory只使用Windows 2000运行，而NDS已被移植到各种平台中。

它们之间一个显著的区别是在使用NDS的情况下，所有的访问控制都由目录管理:但在使用Windows 2000的情况下，一些访问控制在Active Directory中，而其他访问控制在服务器中。

NDS遵循比较传统的X.500模型，而Active Directory仍具有Microsoft域模型(一种专有方案)的元素。

DCE目录服务用于维护关于各种分布资源(如用户，机器，基于DCE RPC的分布应用程序等等)的信息，包括资源的名字及位置。

The Open Group的DCE(分布式计算环境)包括自己的综合其他DCE组件的目录服务。

IBM Network Directory(网络目录) IBM进入目录服务市场靠的是其DB2数据库。

该数据库设计用于电子商务和企业对企业交易。

IBM声称该服务比Novell的NDS及Microsoft 的Active Directory更安全、更具有可伸性。

Netscape Directory Server (目录服务器) NetscaPe的Directory Server旨在成为添加、修改、和删除用户信息的中心地点。

它可组织并分配遍及企业内部网上的一系列服务器上的信息。

这些服务可与Netscape's SuiteSpot集成以提供结构化信息及整套应用程序的组合信息。

Directory Server提供高级LDAP支持及编写目录运行的应用程序的工具。

它还包括对连续操作的改进及LDAP服务器之间的异类复制。

Novell目录服务NDS(Novell目录服务)是NetWare4.X中的一种特性，其提供与X.5OO规范相似的分布式目录服务。

Novell已经将NDS用在Windows NT和UNIX压平台上。

NDS的专用电子商务版本也是可用的。

Microsoft Active Directory Active Directory结合了因特网的DNS定位服务及X.500命名功能。

LDAP是该服务的核心访问协议。

LDAP使Microsoft's Active Directory能够通过操作系统边界运行并集成多个命名空间，因此使管理员能够管理其他供应商的目录服务。

有关更多信息，请参阅“Microsoft Active Directory”。

目录互用性论坛组建的目的是推进基于LDAP标准的开放式目录。

该论坛由开放式目录供应商组成，这些供应商计划制定标准主体以加速基于目录的应用程序的发展和实施。