LDAP协议

LDAP

LDAP是轻型目录访问协议,活动目录存储了有关网络对象的信息,
并且让管理员和用户能够轻松查询和使用信息,LDAP支持跨平台,
可以单独在服务器上部署LDAP,实现与域控相同的功能,从而任何
应用都可以直接访问LDAP目录实现认证、信息获取、信息存储,
并不完全依赖域控。

LDAP基础

1.信息模型:
    LDAP使用面向对象的数据库,用户对象、计算机对象等
    对象类都拥有类和属性,设计时赋予了类继承特性,降低了复杂度。
2.命名模型:
    LDAP中每个对象都用拥有独一无二的DN属性和RDN,DN是
    整个树种唯一的表示,RDN是DN中每一个用逗号分割的表达式,
    如:CN=Admin,DC=a3sroot,DC=com中就有3个RDN。
3.功能模型:
    包括查询类操作如:搜索、比较、,更新类操作类如:添加条目
    、删除条目、修改条目或条目名,认证类操作:如绑定、解绑的、
    其他操作如放弃和扩展操作。
4.安全模型:
    LDAP中的安全模型提供三种认证机制:匿名认证、基本认证和SASL认证。
    匿名认证:
        不对用户进行认证、该方法仅对完全公开的方式适用。
    基本认证:
        通过用户名和密码进行身份验证、又分为简单密码认证和摘要密码认证。
    SASL:
        SASL认证是在SSL和TLS安全通道基础上进行的身份验证，
        包括数字证书的认证。

LDAP应用特性

1.名唯一:
    不能出现相同对象名如拥有一个叫Admin的用户,将不允许出现一个admin组。
2.可继承:
    可动态继承访问权限,比如子对象通过继承将自动获取并推迟父对象的访问权限,
    如果更改父对象的访问权限,相同的更改会应用到父对象中的所有子对象。
3.可复制:
    基于微软的只是一致性检查器(KCC)进行信息复制,KCC是一个在所有域控上运行
    并为林生成复制拓展的内置进程,会根据网络状态和目录服务配置创建单独的复制拓展。
4.跨平台:
    可以在任何计算机平台上使用LDAP客户端进行访问目录服务，可以很容易
    在定制软件上完成LDAP支持。
5.树结构:
    活动目录金支持OpenLDAP中的树形结构,这样可以更好地体现域内组织架构。

全局编录服务器

全局编录服务器（Global Catalog GC）,默认情况下想新林创建的第一个域控服务器是
GC,此后将新的域控添加到已存在的域中需要指定成为GC,GC存储的是有关整个林中
所有域的所有对象信息,而不是仅存储一个活动目录域中的信息,KCC(一致性检查器)创建
复制拓扑,确保每一个活动目录都可以将分区内容传递到林中每一个GC中。
默认情况下域中的GC上监听端口TCP3268（或者3269用于SSL上的LDAP）,
直接使用LDAP客户端连接GC相应端口即可访问全局目录,当使用该端口连接
将只允许只读方式。

LDAP定义

LDAP使用的是X.500标准定义的拥有以下名词DC、OU、CN、DN、RDN、UPN、
Container、FQDN。
DC(域组件 Domain Component):
    如果你的你的域名叫做ldap.com的话那么你的DC全称叫做
    DC=ldap,DC=com

OU(Organiaztion Unit 组织单位):
    OU最多可以拥有四级每级最多32个字符,OU中包含对象、容器
    还可以包含其他组织单位,组织单位还可以链接组策略。

CN（Common Name 通用名称）:
    是对象的名称比如在Usersr容器下有一个叫test的用户
    CN=test,CN=Users,DC=xie,DC=com
    可以发现看到了有两个CN这里的CN=Users比较特殊他不是OU而是容器,
    下面将讲解说明是容器。

Container(容器):
    容器相较于OU最大的区别就是容器可以包含其他对象、比如用户、计算机等
    但是不能在嵌套其他容器或者OU,而OU是可以嵌套其他OU或者容器的。
    比如Users容器下就是所有用户。
    CN=Users,DC=xie,DC=com
DN（Distinguished Name 可分辨名称）
    AD活动目录中每个对象都拥有完全唯一的DN,DN有三个属性分别是DC、OU、CN、
    DN也可以表示为LDAP的某个目录以入域的主机名DESKTOP-IOFJA89为例子,
    它存在于Computers容器中那么他的DN全程就是,CN=DESKTOP-IOFJA89,CN=Computers,DC=xie,DC=com

RDN(相对可分辨名称):
    与目录结构无关,比如RDN叫CN=Administrator,CN=Administrator,CN=Users,DC=xie,DC=com
    可以具有相同的RDN,但不能具有相同的DN。

UPN(User Principal Name 用户主体名称):
    用户的可分辨名称,用户登录时最好输入UPN,因为无论用户的账号被移动到了那个域中
    UPN都不会变化,比如admin的UPN叫做[email protected]
FQDN(Fully Qualified Domain Name 全限定域名)
    跟UPN其实差不多,UPN代表是用户那么FQDN代表的就是机器,比如DESKTOP-IOFJA89为例子FQDN
    叫做DESKTOP-IOFJA89.xie.com