1. Вступление к руководству OpenLDAP
Данный документ описывает сборку, конфигурацию и управление ПО OpenLDAP для работы со службами каталога. Он описывает, как конфигурировать и обслуживать автономный LDAP даемон, slapd (8) и измененную копию автономного LDAP даемона slurpd(8). Он будет полезен как новичкам, так и продвинутым администраторам. Данный раздел является вступлением к службам каталога и, в частности, службам каталога по средствам slapd (8).
1.1. Что такое служба каталогов?
Каталог — представляет собой базу данных, пригодную для чтения, просмотра и поиска информации. Каталоги в общем случае содержат описательную информацию и поддерживают особенные фильтрационные(поисковые) возможности и обычно не содержат сложных операций или схем, находящихся в системах управления БД составленных для управления объемными сложными обновлениями(изменениями).
Разделённые (общие, открытые) оптимизированы для быстрого вывода информации в ответ на запросы просмотра и поиска, и также могут быть оптимизированы для копирования (имеется ввиду клонирование в коем-то роде для множестенности индексов поиска) информации с целью увеличения надежности и уменьшения времени на ответ, при этом временные противоречия между копиями устраняются (видимо в реальном времени) путём синхронизации.
Существует много способов обеспечить работу службы общих каталогов. Различные методы позволяют различным видам информации храниться в каталоге; устанавливают различные требования к тому как информация может маркироваться, проверяться и обновляться, и как она защищается от несанкционированного доступа т.д. Некоторые справочные службы являются локальными, обеспечивающими сервис к ограниченному контексту (например, finger service на одной машине). Другие же службы являются глобальными и обеспечивают доступ к гораздо более широкому кругу ресурсов (например, весь интернет). Глобальные службы обычно распределены, это значит, что данные, которые они содержат, хранятся на разных машинах удалённых друг от друга, связанных между собой для обеспечения работы со службами каталогов. Обычно глобальная система определяет общий набор ресурсов, который обеспечивает однозначность и однообразность данных, независимо от территориального расположения машин в сети. The Internet Domain Name System (DNS) является примером глобальной службы каталогов.
1.2. What is LDAP?
LDAP stands for Lightweight Directory Access Protocol. As the name suggests, it is a lightweight protocol for accessing directory services, specifically X.500-based directory services. LDAP runs over TCP/IP or other connection oriented transfer services. The nitty-gritty details of LDAP are defined in RFC2251 "The Lightweight Directory Access Protocol (v3)" and other documents comprising the technical specification RFC3377. This section gives an overview of LDAP from a user's perspective.
What kind of information can be stored in the directory?The LDAP information model is based on entries. An entry is a collection of attributes that has a globally-unique Distinguished Name (DN). The DN is used to refer to the entry unambiguously. Each of the entry's attributes has a typeand one or more values. The types are typically mnemonic strings, like "cn" for common name, or "mail" for email address. The syntax of values depend on the attribute type. For example, a cn attribute might contain the value Babs Jensen. A mail attribute might contain the value "babs@example.com". A jpegPhoto attribute would contain a photograph in the JPEG (binary) format.
How is the information arranged?In LDAP, directory entries are arranged in a hierarchical tree-like structure. Traditionally, this structure reflected the geographic and/or organizational boundaries. Entries representing countries appear at the top of the tree. Below them are entries representing states and national organizations. Below them might be entries representing organizational units, people, printers, documents, or just about anything else you can think of. Figure 1.1 shows an example LDAP directory tree using traditional naming.
The tree may also be arranged based upon Internet domain names. This naming approach is becoming increasing popular as it allows for directory services to be located using the DNS. Figure 1.2 shows an example LDAP directory tree using domain-based naming.
In addition, LDAP allows you to control which attributes are required and allowed in an entry through the use of a special attribute called objectClass. The values of the objectClass attribute determine the schemarules the entry must obey.
How is the information referenced?An entry is referenced by its distinguished name, which is constructed by taking the name of the entry itself (called the Relative Distinguished Name or RDN) and concatenating the names of its ancestor entries. For example, the entry for Barbara Jensen in the Internet naming example above has an RDN of uid=babs and a DN of uid=babs,ou=People,dc=example,dc=com. The full DN format is described in RFC2253, "Lightweight Directory Access Protocol (v3): UTF-8 String Representation of Distinguished Names."
How is the information accessed?LDAP defines operations for interrogating and updating the directory. Operations are provided for adding and deleting an entry from the directory, changing an existing entry, and changing the name of an entry. Most of the time, though, LDAP is used to search for information in the directory. The LDAP search operation allows some portion of the directory to be searched for entries that match some criteria specified by a search filter. Information can be requested from each entry that matches the criteria.
For example, you might want to search the entire directory subtree at and below dc=example,dc=com for people with the name Barbara Jensen, retrieving the email address of each entry found. LDAP lets you do this easily. Or you might want to search the entries directly below the st=California,c=US entry for organizations with the string Acme in their name, and that have a fax number. LDAP lets you do this too. The next section describes in more detail what you can do with LDAP and how it might be useful to you.
How is the information protected from unauthorized access?Some directory services provide no protection, allowing anyone to see the information. LDAP provides a mechanism for a client to authenticate, or prove its identity to a directory server, paving the way for rich access control to protect the information the server contains. LDAP also supports data security (integrity and confidentiality) services.
1.2. Что такое LDAP?
LDAP - это (облегчённый) протокол доступа к общим каталогам, в частности к службе каталогов X.500. LDAP использует TCP/IP, а также другие службы и протоколы передачи данных. Необходимые детали LDAP определены в RFC2251 "The Lightweight Directory Access Protocol (v3)" и других документах, содержащих техническую спецификацию RFC3377. Данный раздел описывает LDAP с позиции пользователя.
Какого вида информация может храниться в каталоге?
Информационная модель LDAP основана на узлах. Узел обладает абсолютно уникальным Distinguished Name(узнаваемым именем) (DN), а также набором признаков. DN используется по отношению к узлу однозначно. Каждый из признаков узла обладает типом параметра, одним или более значений параметра. Типы параметра — обычно мнемонические строки, как "cn" для обычного имени, или "mail" — для e-mail адреса. Синтаксис значения параметра зависит от признака типа. Например, значение cn может содержать значение"babs@example.com", значение jpegPhoto — фотографию в формате JPEG (в бинарном двоичном файле).
Как организовано хранение информации?
В LDAP, узлы каталога организованы иерархически в форме дерева. Традиционно, такая структура отражала иерархию машин в сети и их географическое положение. Узлы, представляющие страны, расположены на вершине дерева. Ниже — узлы, представляющие штат (область) и национальные организации. Еще ниже могут быть узлы, представляющие элементы организации: людей, принтеры, документы, или просто все то, что Вы захотите включить в каталог.
На рисунке 1.1. вы можете увидеть пример такого дерева.
Рис. 1.1: LDAP дерево каталога (традиционные наименования)
Дерево может быть также организовано с опорой на доменные имена в Интернете. Такой подход становится все более популярным, так как он позволяет службе каталогов располагаться, используя DNS. На рисунке 1.2. Вы видите пример дерева с использованием доменных имен.
Рис. 1.2: LDAP дерево каталога (Internet наименования)
В добавок к этому, LDAP, по средствам использования специального атрибута objectClass, позволяет Вам контролировать, какие признаки необходимы и разрешены в УЗЛЕ. Значения атрибута objectClass устанавливают правила схемы, которым УЗЕЛ должен подчиняться.
Как упоминается информация? УЗЕЛназывается своим уникальным именем, которое состоит из имени самого УЗЛА (так называемое Relative Distinguished Name или RDN) и комбинация имен его предыдущих УЗЛОВ. Например, УЗЕЛ для Barbara Jensen в Интернете, если брать предыдущий пример, имеет RDN uid=babs и DN uid=babs,ou=People,dc=example,dc=com. Полный DN формат описан в RFC2253, "Lightweight Directory Access Protocol (v3): UTF-8 String Representation of Distinguished Names."
Как используется информация? LDAP определяет операции для запроса и обновления каталога. Операции необходимы для добавления и удаления УЗЛА из каталога, изменяя существующий УЗЕЛ, и изменяя имя УЗЛА. Хотя, чаще всего LDAP используется для поиска информации в каталоге. Операция поиска позволяет УЗЛАМ находить определенную часть каталога , удовлетворяющим некоторым критериям, которые уточняются поисковым фильтром. Информация может запрашиваться любым(каждым) УЗЛОМ, который удовлетворяет этим критериям.
Например, вы захотели найти полное поддрево каталога на и ниже dc=example,dc=com для людей с именем Barbara Jensen, взяв электронный адрес каждого найденного УЗЛА. LDAP позволяет вам легко сделать это. Или Вы захотели отыскать УЗЛЫ прямо под st=California,c=US, УЗЕЛ для организаций в строке Acme в их имени, и у этих людей есть свой номер факса. LDAP также позволит Вам это сделать. Следующий раздел детально описывает, что можно сделать при помощи LDAP и как он может быть полезен Вам.
Как информация может быть защищена от несанкционированного доступа? Некоторые службы каталогов не имеют защиты, и все кому не лень могут просмотреть всю информацию. LDAP снабжен механизмом, при котором сервер каталога легко распознает пользователя и доподлинно устанавливает его личность, тем самым защищая информацию, которую содержит сервер. LDAP также сохраняет данные в надежности, целостности и конфиденциальности.
1.3. How does LDAP work?
LDAP directory service is based on a client-servermodel. One or more LDAP servers contain the data making up the directory information tree (DIT). The client connects to servers and asks it a question. The server responds with an answer and/or with a pointer to where the client can get additional information (typically, another LDAP server). No matter which LDAP server a client connects to, it sees the same view of the directory; a name presented to one LDAP server references the same entry it would at another LDAP server. This is an important feature of a global directory service, like LDAP.
1.3. Как работает LDAP?
Службакаталога LDAP основана на модели client-server (клиент-сервер). Один или более LDAP серверов состоят(используя) из данных, образуя directory information tree (DIT) (информационное дерево каталога). Клиент связывается с сервером и задает ему вопрос. Сервер отвечает и/или указывает, где клиент может получить дополнительную информацию (обычно другой LDAP сервер). Не имеет значения, к какому LDAP серверу подключился клиент, он (сервер) опознает этот каталог; имя, представленное одному LDAP серверу, отображает один и тот же УЗЕЛ, который будет и на другом LDAP сервере. это важная особенность такой глобальной системы, как LDAP.
1.4. What about X.500?
Technically, LDAP is a directory access protocol to an X.500 directory service, the OSI directory service. Initially, LDAP clients accessed gateways to the X.500 directory service. This gateway ran LDAP between the client and gateway and X.500's Directory Access Protocol (DAP) between the gateway and the X.500 server. DAP is a heavyweight protocol that operates over a full OSI protocol stack and requires a significant amount of computing resources. LDAP is designed to operate over TCP/IP and provides most of the functionality of DAP at a much lower cost.
The stand-alone LDAP daemon, or slapd (8), can be viewed as a lightweightX.500 directory server. That is, it does not implement the X.500's DAP nor does it support the complete X.500 models.
If you are already running a X.500 DAP service and you want to continue to do so, you can probably stop reading this guide. This guide is all about running LDAP via slapd (8), without running X.500 DAP. If you are not running X.500 DAP, want to stop running X.500 DAP, or have no immediate plans to run X.500 DAP, read on.
It is possible to replicate data from an LDAP directory server to a X.500 DAP DSA. This requires an LDAP/DAP gateway. OpenLDAP does not provide such a gateway, but our replication daemon can be used to replicate to such a gateway. See the Replication with slurpd chapter of this document for information regarding replication.
1.4. Что такое X.500?
Технически, LDAP — это протокол доступа к службе каталога X.500, службе каталога OSI. Первоначально, клиенты LDAP пользовались шлюзами для того, чтобы войти в службу каталога X.500. этот шлюз управлял LDAP для связи клиента и шлюза и управлял X.500 Directory Access Protocol (DAP) (протокол о доступе) для связи шлюза и сервера X.500. DAP — это объемный протокол, который работает по средствам полного OSI protocol stack и требует значительного количества компьютерных ресурсов. LDAP создан для операций через TCP/IP и обеспечивает большую функциональность DAP с гораздо меньшими затратами.
Хотя LDAP все еще используется для того, чтобы иметь доступ к службе каталогов X.500 через шлюзы, сейчас LDAP все более находит применение в серверах X.500.
Автономный LDAP даемон, или slapd (8), можно рассматривать как облегченный сервер X.500. это значит, что он не может использовать X.500's DAP и не может поддерживать X.500 модели.
Если Вы уже используете X.500 DAP-сервис, и Вы хотите использовать его далее, то Вам можно закончить чтение этой части документа. Он об использовании LDAP через slapd (8) без использования X.500 DAP. Если же вы не пользуетесь X.500 DAP, или хотите прекратить его использование, или еще не определились, продолжайте читать.
Имеется возможность копировать данные из LDAP службы каталога на X.500 DAP DSA. это требует LDAP/DAP шлюза. OpenLDAP не снабжен таким шлюзом, но версия даемона может быть использована для копирования этого шлюза. См. главу Replication with slurpd для получения информации по копированию.
1.5. What is the difference between LDAPv2 and LDAPv3?
LDAPv3 was developed in the late 1990's to replace LDAPv2. LDAPv3 adds the following features to LDAP:
Strong authentication and data security services via SASL
Certificate authentication and data security services via TLS (SSL)
Internationalization through the use of Unicode
Referrals and Continuations
Schema Discovery
Extensibility (controls, extended operations, and more)
LDAPv2 is historic (RFC3494). As most so-calledLDAPv2 implementations (including slapd (8)) do not conform to the LDAPv2 technical specification, interoperatibility amongst implementations claiming LDAPv2 support is limited. As LDAPv2 differs significantly from LDAPv3, deploying both LDAPv2 and LDAPv3 simultaneously is quite problematic. LDAPv2 should be avoided. LDAPv2 is disabled by default.
1.5. В чем различия между LDAPv2 и LDAPv3?
LDAPv3 был разработан в конце 1990 годов и заменил LDAPv2. LDAPv3 добавил следующие особенности к LDAP:
-
улучшенная аутентификация и служба защиты данных по средствам SASL;
-
сертификат аутентификации и служба защиты данных по средствам TLS (SSL);
-
интернационализация через использование Unicode;
-
направления и продолжения
-
схема открытия (Schema Discovery )
-
расширились возможности? ( контроль, увеличение операций и т.д)
LDAPv2 устарел (RFC3494) . Так как LDAPv2 значительно отличается от LDAPv3, использование как LDAPv2 так и LDAPv3 одновременно довольно проблематично. LDAPv2 следует избегать, т.к. в нем имеются недостатки.
1.6. What is slapd and what can it do?
slapd (8) is an LDAP directory server that runs on many different platforms. You can use it to provide a directory service of your very own. Your directory can contain pretty much anything you want to put in it. You can connect it to the global LDAP directory service, or run a service all by yourself. Some of slapd 's more interesting features and capabilities include:
LDAPv3: slapd implements version 3 of Lightweight Directory Access Protocol. slapd supports LDAP over both IPv4 and IPv6 and Unix IPC.
Simple Authentication and Security Layer: slapd supports strong authentication and data security (integrity and confidentiality) services through the use of SASL. slapd 's SASL implementation utilizes Cyrus SASL software which supports a number of mechanisms including DIGEST-MD5, EXTERNAL, and GSSAPI.
Transport Layer Security: slapd supports certificate-based authentication and data security (integrity and confidentiality) services through the use of TLS (or SSL). slapd 's TLS implementation utilizes OpenSSL software.
Topology control: slapd can be configured to restrict access at the socket layer based upon network topology information. This feature utilizes TCP wrappers.
Access control: slapd provides a rich and powerful access control facility, allowing you to control access to the information in your database(s). You can control access to entries based on LDAP authorization information, IP address, domain name and other criteria. slapd supports both staticand dynamicaccess control information.
Internationalization: slapd supports Unicode and language tags.
Choice of database backends: slapd comes with a variety of different database backends you can choose from. They include BDB, a high-performance transactional database backend; HDB, a hierarchical high-performance transactional backend; LDBM, a lightweight DBM based backend; SHELL, a backend interface to arbitrary shell scripts; and PASSWD, a simple backend interface to the passwd(5) file. The BDB and HDB backends utilize Sleepycat Berkeley DB. The LDBM utilizes either or GDBM.
Multiple database instances: slapd can be configured to serve multiple databases at the same time. This means that a single slapd server can respond to requests for many logically different portions of the LDAP tree, using the same or different database backends.
Generic modules API: If you require even more customization, slapd lets you write your own modules easily. slapd consists of two distinct parts: a front end that handles protocol communication with LDAP clients; and modules which handle specific tasks such as database operations. Because these two pieces communicate via a well-defined C API, you can write your own customized modules which extend slapd in numerous ways. Also, a number of programmable databasemodules are provided. These allow you to expose external data sources to slapd using popular programming languages (Perl, shell, SQL, and TCL).
Threads: slapd is threaded for high performance. A single multi-threaded slapd process handles all incoming requests using a pool of threads. This reduces the amount of system overhead required while providing high performance.
Replication: slapd can be configured to maintain shadow copies of directory information. This single-master/multiple-slavereplication scheme is vital in high-volume environments where a single slapd just doesn't provide the necessary availability or reliability. slapd supports two replication methods: LDAP Sync-based and slurpd(8)-based replication.
Proxy Cache: slapd can be configured as a caching LDAP proxy service.
Configuration: slapd is highly configurable through a single configuration file which allows you to change just about everything you'd ever want to change. Configuration options have reasonable defaults, making your job much easier.
1.6. Что такое slapd и что он может делать?
Slapd(8) — это сервер каталога LDAP, который работает на многих различных платформах. Вы можете использовать ее, чтобы обслуживать свою собственную службу каталогов. Ваш каталог может содержать все то, что Вы хотите туда поместить. Вы можете связать ее с основной службой каталогов LDAP или управлять службой самостоятельно. Некоторые наиболее интересные особенности и возможности slapd включают:
LDAPv3: slapd приводит в действие 3-ю версию LDAP. Slapd поддерживает LDAP IPv4 и IPv6 и Unix IPC.
Простая аутентификация и Защита: slapd поддерживает мощную аутентификацию и сохранение данных (целостность и конфиденциальность) через SASL. SASL использует ПО CyrusSASL, которое поддерживает такие механизмы как DIGEST-MD5, EXTERNAL, и GSSAPI.
Защита передачи данных: slapd поддерживает сертификат аутентификации и службу хранения данных с помощью TLS (или SSL). Имплементация (реализация)TSL в системе slapd использует ПО OpenSSL.
Топологический контроль: slapd может быть сконфигурирован так, чтобы ограничить доступ к socket layer (нижнемуслою), который основан на топологической информации. эта черта использует TCP оболочки.
Контроль над доступом: slapd обеспечивает мощную защиту от взломом и позволяет Вам контролировать доступ к информации в Вашей базе (базах) данных. Вы можете контролировать доступ узлам, основанным на LDAP информации, IP адресах, доменном имени и других критериях. slapd поддерживает как статичный так и динамичный контроль над доступом к информации.
Интернационализация: slapd поддерживает Unicode и языковые теги.
Выбор бэкэндов БД: slapd предоставляет Вам право выбора различных бэкэндов БД. Они включают BDB, высокоэффективные трансакциональные бэкэнды БД; HDB, иерархические высокоэффективные трансакциональные бэкэнды; LDBM, облегченный бэкэнд, основанный на DBM; SHELL, интерфейс бэкэнда для произвольного написания скриптов; и PASSWD, легкий интерфейс бэкэнда для passwd(5) файла. BDB и HDB бэкэнды используют Sleepycat Berkeley DB. LDBM использует либо Berkeley DB, либо GDBM.
Сложные БД: slapd ,в то же время, может быть сконфигурирован так, чтобы обслуживать сложные БД. это значит, что единственный (один) slapd может реагировать на запросы для многих логически различных частей дерева LDAP, используя одинаковые или различные бэкэнды БД.
Общие модули API:если Вы запрашиваете еще настройки, slapd позволяет Вам легко написать Ваши собственные модули. slapd состоит из 2-х частей: front end, который управляет протоколами связей с LDAP клиентами; и модулей, которые отвечают за специфические задания, такие как операции с БД. Т.к. эти две составляющие связаны между собой через C API, Вы можете написать свои собственные модули, которые значительно расширяют slapd . Так, появляется большое количество программных модулей БД. Они позволяют Вам демонстрировать внешние ресурсы slapd , используя популярные языки программирования (Perl, shell, SQL, и TCL).
Потоки: slapd высокопроизводителен. Единственный многопоточный slapd процесс управляет всеми входящими запросами, используя совокупность потоков. это снижает количество необходимой системы , в тоже самое время обеспечивая высокую производительность
Копирование: slapd может быть сконфигурирован так, чтобы обслуживать скрытые копии справочной информации. эта single-master/multiple-slave скопированная копия является важной в объемных средах, где единственный slapd просто не обеспечивает необходимой доступности и надежности. slapd поддерживает два метода копирования: LDAP Sync-based и slurpd(8)-based.
Proxy Cache: slabdможет быть сконфигурирован как caching LDAP прокси служба.
Конфигурация: slabd— является высоко конфигурированным через единый конфигурационный файл, которой позволяет вам изменять все то, что бы вы хотели изменить. Конфигурационные опции обладают приемлемыми умолчаниями, что делает вашу работу гораздо более легкой.
1.7. What is slurpd and what can it do?
slurpd(8) is a daemon that, with slapd help, provides replicated service. It is responsible for distributing changes made to the master slapd database out to the various slapd replicas. It frees slapd from having to worry that some replicas might be down or unreachable when a change comes through; slurpdhandles retrying failed requests automatically. slapd and slurpdcommunicate through a simple text file that is used to log changes.
See the Replication with slurpd chapter for information about how to configure and run slurpd(8).
Alternatively, LDAP-Sync-based replication may be used to provide a replicated service. See the LDAP Sync Replication chapter for details.
1.7. Что такое slurpd, и что он может делать?
Slurpd(8) — это даемон, который с помощью slapd обеспечивает службу копий. Он отвечает за дистрибутивные изменения, сделанные мастеру БД slabd для различных копий slabd. Он освобождаетslabd от необходимости беспокоиться за то, что некоторые копии могут быть недоступны, когда происходит какое-либо изменение; slurpdсправляется с повторными (неудавшимися) запросами автоматически. Slapd и slurpd взаимодействуют друг с другом через простой текстовый файл, который используется для регистрации ошибок.
См. главу Replication with slurpd для получения информации о том как сконфигурировать и запустить (обслуживать) slurpd(8).
Кроме того, LDAP- Sync-based копия может быть использована для того, чтобы обеспечить службу копирования. См. главу LDAP Sync Replication для получения более детальной информации.
