《營造法原》詮釋

1.1. LDAP是什么

1.2. LDAP是電話簿

1.3. LDAP是不是數(shù)據(jù)庫

2. LDAP的特點

2.1. LDAP的優(yōu)勢

2.1.1 跨平臺

2.1.2 費用及維護

大多數(shù)的LDAP服務(wù)器安裝起來很簡單，也容易維護和優(yōu)化。

2.1.3 復(fù)制技術(shù)

2.1.4 允許使用ACI

2.2. LDAP存儲什么數(shù)據(jù)

LDAP對于這樣存儲這樣的信息最為有用:也就是數(shù)據(jù)需要從不同的地點讀取，但是不需要經(jīng)常更新。例如，這些信息存儲在LDAP目錄中是十分有效的:

l 公司員工的電話號碼簿和組織結(jié)構(gòu)圖

l 客戶的聯(lián)系信息

l 軟件包的配置信息

l 公用證書和安全密匙

2.3. 什么時候該用LDAP存儲數(shù)據(jù)

如果下面每一個問題的答案都是"是"，那么把數(shù)據(jù)存在LDAP中就是一個好主意。

l 需要在任何平臺上都能讀取數(shù)據(jù)嗎?

l 每一個單獨的記錄項是不是每一天都只有很少的改變?

3. LDAP的基本模型

3.1 信息模型:描述LDAP的信息表示方式

在LDAP中信息以樹狀方式組織，在樹狀信息中的基本數(shù)據(jù)單元是條目，而每個條目由屬性構(gòu)成，屬性中存儲有屬性值;LDAP中的信息模式，類似于面向?qū)ο蟮母拍?，在LDAP中每個條目必須屬于某個或多個對象類(Object Class)，每個Object Class由多個屬性類型組成，每個屬性類型有所對應(yīng)的語法和匹配規(guī)則;對象類和屬性類型的定義均可以使用繼承的概念。每個條目創(chuàng)建時，必須定義所屬的對象類，必須提供對象類中的必選屬性類型的屬性值，在LDAP中一個屬性類型可以對應(yīng)多個值。

在LDAP中把對象類、屬性類型、語法和匹配規(guī)則統(tǒng)稱為Schema，在LDAP中有許多系統(tǒng)對象類、屬性類型、語法和匹配規(guī)則，這些系統(tǒng)Schema在LDAP標(biāo)準(zhǔn)中進(jìn)行了規(guī)定，同時不同的應(yīng)用領(lǐng)域也定義了自己的Schema，同時用戶在應(yīng)用時，也可以根據(jù)需要自定義Schema。這有些類似于XML，除了XML標(biāo)準(zhǔn)中的XML定義外，每個行業(yè)都有自己標(biāo)準(zhǔn)的DTD或DOM定義，用戶也可以自擴展;也如同XML，在LDAP中也鼓勵用戶盡量使用標(biāo)準(zhǔn)的Schema，以增強信息的互聯(lián)互通。

在Schema中最難理解的是匹配規(guī)則，這是LDAP中為了加快查詢的速度，針對不同的數(shù)據(jù)類型，可以提供不同的匹配方法，如針對字符串類型的相等、模糊、大于小于均提供自己的匹配規(guī)則。

3.2 命名模型:描述LDAP中的數(shù)據(jù)如何組織

LDAP中的命名模型，也即LDAP中的條目定位方式。在LDAP中每個條目均有自己的DN和RDN。DN是該條目在整個樹中的唯一名稱標(biāo)識，RDN是條目在父節(jié)點下的唯一名稱標(biāo)識，如同文件系統(tǒng)中，帶路徑的文件名就是DN，文件名就是RDN。

3.3功能模型:描述LDAP中的數(shù)據(jù)操作訪問

在LDAP中共有四類10種操作:查詢類操作，如搜索、比較;更新類操作，如添加條目、刪除條目、修改條目、修改條目名;認(rèn)證類操作，如綁定、解綁定;其它操作，如放棄和擴展操作。除了擴展操作，另外9種是LDAP的標(biāo)準(zhǔn)操作;擴展操作是LDAP中為了增加新的功能，提供的一種標(biāo)準(zhǔn)的擴展框架，當(dāng)前已經(jīng)成為LDAP標(biāo)準(zhǔn)的擴展操作，有修改密碼和StartTLS擴展，在新的RFC標(biāo)準(zhǔn)和草案中正在增加一些新的擴展操作，不同的LDAP廠商也均定義了自己的擴展操作。

3.4 安全模型:描述LDAP中的安全機制

LDAP中的安全模型主要通過身份認(rèn)證、安全通道和訪問控制來實現(xiàn)。

3.4.1身份認(rèn)證

在LDAP中提供三種認(rèn)證機制，即匿名、基本認(rèn)證和SASL(Simple Authentication and Secure Layer)認(rèn)證。匿名認(rèn)證即不對用戶進(jìn)行認(rèn)證，該方法僅對完全公開的方式適用;基本認(rèn)證均是通過用戶名和密碼進(jìn)行身份識別，又分為簡單密碼和摘要密碼認(rèn)證;SASL認(rèn)證即LDAP提供的在SSL和TLS安全通道基礎(chǔ)上進(jìn)行的身份認(rèn)證，包括數(shù)字證書的認(rèn)證。

3.4.2 通訊安全

在LDAP中提供了基于SSL/TLS的通訊安全保障。SSL/TLS是基于PKI信息安全技術(shù)，是當(dāng)前Internet上廣泛采用的安全服務(wù)。LDAP通過StartTLS方式啟動TLS服務(wù)，可以提供通訊中的數(shù)據(jù)保密性、完整性保護;通過強制客戶端證書認(rèn)證的TLS服務(wù)，同時可以實現(xiàn)對客戶端身份和服務(wù)器端身份的雙向驗證。

3.4.3訪問控制

雖然LDAP并無訪問控制的標(biāo)準(zhǔn)，但從一些草案中或是事實上LDAP產(chǎn)品的訪問控制情況，我們不難看出:LDAP訪問控制異常的靈活和豐富，在LDAP中是基于訪問控制策略語句來實現(xiàn)訪問控制的，這不同于現(xiàn)有的關(guān)系型數(shù)據(jù)庫系統(tǒng)和應(yīng)用系統(tǒng)，它是通過基于訪問控制列表來實現(xiàn)的，無論是基于組模式或角色模式，都擺脫不了這種限制。

在使用關(guān)系型數(shù)據(jù)庫系統(tǒng)開發(fā)應(yīng)用時，往往是通過幾個固定的數(shù)據(jù)庫用戶名訪問數(shù)據(jù)庫。對于應(yīng)用系統(tǒng)本身的訪問控制，通常是需要建立專門的用戶表，在應(yīng)用系統(tǒng)內(nèi)開發(fā)針對不同用戶的訪問控制授權(quán)代碼，這樣一旦訪問控制策略變更時，往往需要代碼進(jìn)行變更?？傊痪湓?，關(guān)系型數(shù)據(jù)庫的應(yīng)用中用戶數(shù)據(jù)管理和數(shù)據(jù)庫訪問標(biāo)識是分離的，復(fù)雜的數(shù)據(jù)訪問控制需要通過應(yīng)用來實現(xiàn)。

而對于LDAP，用戶數(shù)據(jù)管理和訪問標(biāo)識是一體的，應(yīng)用不需要關(guān)心訪問控制的實現(xiàn)。這是由于在LDAP中的訪問控制語句是基于策略語句來實現(xiàn)的，無論是訪問控制的數(shù)據(jù)對象，還是訪問控制的主體對象，均是與這些對象在樹中的位置和對象本身的數(shù)據(jù)特征相關(guān)。

在LDAP中，可以把整個目錄、目錄的子樹、制定條目、特定條目屬性集或符合某過濾條件的條目作為控制對象進(jìn)行授權(quán);可以把特定用戶、屬于特定組或所有目錄用戶作為授權(quán)主體進(jìn)行授權(quán);最后，還可以定義對特定位置(例如IP地址或DNS名稱)的訪問權(quán)。

4. LDAP數(shù)據(jù)結(jié)構(gòu)

LDAP是實現(xiàn)了指定的數(shù)據(jù)結(jié)構(gòu)的存貯，它包括以下可以用關(guān)系數(shù)據(jù)庫實現(xiàn)的結(jié)構(gòu)要求:樹狀組織、條目認(rèn)證、類型定義、許可樹形記錄拷貝。

4.1 樹狀組織

無論是X500還是LDAP都是采用樹狀方式進(jìn)行記錄。每一個樹目錄都有一個樹根的入口條目，子記錄全部是這一根條目的子孫。這是目錄與關(guān)系數(shù)據(jù)類型最大的區(qū)別(關(guān)系數(shù)據(jù)庫的應(yīng)用結(jié)構(gòu)也可實現(xiàn)樹狀記錄)。因此，把目錄看作是更高級的樹狀數(shù)據(jù)庫也未嘗不可，只不過除此外，它不能實現(xiàn)關(guān)系存貯的重要功能。

4.2 條目和條目認(rèn)證

LDAP是以條目作為認(rèn)證的根據(jù)。ROOT的權(quán)限認(rèn)證與目錄本身無關(guān)，但除此外所有條目的認(rèn)證權(quán)限由條目本身的密碼進(jìn)行認(rèn)證。LDAP可以配置成各種各樣不同的父子條目權(quán)限繼承方式。

每一個條目相當(dāng)于一個單一的平面文本記錄，由條目自身或指定的條目認(rèn)證進(jìn)行訪問控制。因此，LDAP定義的存貯結(jié)構(gòu)等同于一批樹狀組織的平面數(shù)據(jù)庫，并提供相應(yīng)的訪問控制。

條目中的記錄以名-值對的形式存在，每一個名值對必須由數(shù)據(jù)樣式schema預(yù)定義。因此，LDAP可以看作是以規(guī)定的值類型以名值對形式存貯在一系列以樹狀組織的平面數(shù)據(jù)庫的記錄的集合。

4.3 數(shù)據(jù)樣式(schema)

數(shù)據(jù)樣式schema是針對不同的應(yīng)用，由用戶指定(設(shè)計)類和屬性類型預(yù)定義，條目中的類(objectclass)和屬性必須在在LDAP服務(wù)器啟動時載入內(nèi)存的schema已有定義。因此，AD活動目錄中的條目記錄就必須符合Active Directory的schema中。如果已提供的schema中的定義不夠用，用戶可以自行定義新的schema.

在http://ldap.akbkhome點com/index.php中可以看到常用的schema。

4.4 對象類型(objectClass)

LDAP目錄用對象類型(objectclass)的概念來定義運行哪一類的對象使用什么屬性。

條目中的記錄通過objectclass實現(xiàn)分類，objectClass是一個繼承性的類定義，每一個類定義指定必須具備的屬性。如某一條目指定必須符合某個類型，則它必須具備超類所指定的屬性。

通過objectclass分類，分散的條目中的記錄就實際上建立了一個索引結(jié)構(gòu)，為高速的讀查詢打下了基礎(chǔ)。Objectclass也是過濾器的主要查詢對象。

4.5 過濾器和語法

LDAP是一個查詢?yōu)橹鞯挠涗浗Y(jié)構(gòu)，無論是何種查詢方式，最終都由過濾器缺點查詢的條件。過濾器相當(dāng)于SQL中的WHERE子句。任何LDAP的類過濾和字符串都必須放在括號內(nèi)，如(objectclass=*),指列出所有類型的記錄(不過分類)。

可以使用=，>=，<=，~=(約等于)進(jìn)行比較，如(number<=100)。合并條件是最怪的，必須把操作符放在兩個操作對象的前面而不是中間，單一操作對象用括號括起來。如

l A與B，不是A&B，而是(&(A)(B))。

l 或使用"|"表示;

l 非使用"!"表示。

l 對于"與"，或"或"在操作符后可以跟多個條件表達(dá)式，但非后則只參是單個表達(dá)式。

詳見RFC1558。

4.6 樹移植

LDAP最重要的特性和要求并不是讀性能，而是擴展性。這一特性是通過樹移植和樹復(fù)制實現(xiàn)的。按LDAP的RFC要求，LDAP目錄應(yīng)該可以任意地在不同的目錄間連接、合并并實現(xiàn)自動復(fù)制，及自動性同步。這意味著用戶可以在任一LDAP中訪問條目，而不用管其中某一部分是否復(fù)制自全世界另一目錄中的記錄，同時另一目錄中的記錄同樣在正常運作。

這一特性如果在關(guān)系數(shù)據(jù)庫中實現(xiàn)，意味著要使用程序化的非規(guī)范化預(yù)復(fù)制。類似于匯總帳目的設(shè)計。

4.7 LDIF交換文件

LDIF是LDAP約定的記錄交換格式，以平面文本的形式存在，是大部分LDAP內(nèi)容交換的基礎(chǔ)，如拷貝、添加、修改等操作，都是基于LDIF文件進(jìn)行操作。

4.8 JAVA或CORBA對象串行化存儲

網(wǎng)絡(luò)高效率的訪問加上JAVA的跨平臺能力，當(dāng)把JAVA或CORBA對象串行化后存儲到LDAP目錄上時，可以產(chǎn)生非同一般的集成效果--實際上，這正是EJB和.NET的網(wǎng)絡(luò)定位基礎(chǔ)技術(shù)。

使用JAVA或CORBA對象存儲時，必須首先讓LDAP服務(wù)支持該對象定義，也就是說包含qmail.schema或corba.schema。

JAVA必須存儲在objectclass=javacontainer的條目中，而且必須帶有cn屬性，這意味著除非該JAVA類專門實現(xiàn)了DirContext接口，對于大多數(shù)JAVA類來說，只能采用DirContext代替Context實現(xiàn)bind的添加操作。取出JAVA類相對要簡單得多，只需使用context.lookup()獲得該對象的句柄，然后強制造型成所需要的對象就可以了,如:

Person p=(Person)contex.lookup("cn=elvis,dc=daifu,dc=com");

這個句法在EJB的程序中，是經(jīng)常用到的。

使用CORBA的跨語言性質(zhì)，使用CORBA存儲對象比JAVA更加誘人，這意味著所存儲的對象可以被任何語言編寫的客戶端訪問。其實，微軟的.net說到底也非常簡單，無非是把COM對象存儲到微軟自家的目錄ActiveDirectory里面，從而可以在網(wǎng)絡(luò)范圍內(nèi)使用任何微軟平臺的語言進(jìn)行對象訪問而已。眾所周知，COM就是與CORBA相對的微軟規(guī)范。

使用對象串行化技術(shù)，可以把常用對象如某個打印機，某個客戶直接存儲到LDAP中，然后快速獲取該對象的引用，這樣，就比把對象信息存儲到關(guān)系數(shù)據(jù)庫中，分別取出屬性，然后再初始化對象操作的做法，效率要高得多了。這是LDAP比普通關(guān)系數(shù)據(jù)庫存儲要優(yōu)秀的地方，而對象數(shù)據(jù)庫還不成熟。