LDAP技术总结（本文档由廖武锋编写）第一章LDAP有关技术介绍第一节X.500目录服务OSLX.500目录是基于OSI网络协议的目录服务协议，也是LDAP的前身。但是X.500的缺点是不支持TCP/IP，而是支持OSI协议，显然，在Windows等个人电脑上不可以使用OSI协议，在此前提下，也就产生了访问X.500目录的网关－LDAP。第二节什么是LDAP？LDAP英文全称是LightWeightDirectoryAccessProtocol，一般都简称为LDAP。它是基于X.500标准的，但是简单多了并且可以根据需要定制。与X.500不同，LDAP支持TCP/IP，这对访问Internet是必须的。LDAP的核心规范在RFC中都有定义，所有与LDAP相关的RFC都可以在LDAPmanRFC网页中找到。现在LDAP技术不仅发展得很快而且也是激动人心的。在企业范围内实现LDAP可以让运行在几乎所有计算机平台上的所有的应用程序从LDAP目录中获取信息。LDAP目录中可以存储各种类型的数据：电子邮件地址、邮件路由信息、人力资源数据、公用密匙、联系人列表等等。通过把LDAP目录作为系统集成中的一个重要环节，可以简化员工在企业内部查询信息的步骤，甚至连主要的数据源都可以放在任何地方。第三节SunOneDirectoryServer目录服务第四节WindowsActiveDirectory活动目录ActiveDirectory(AD)是微软为.net中的对象访问定义的目录服务，包括目录服务本身，以及客户端API（ADSI）。AD并不是LDAP在.net中的实现，而是X.500在.net中的实现，但AD前端支持并主要以LDAP形式进行访问。完整地说，AD是基于微软自身定义的X.500扩展的一系列Schema实现的X.500目录服务及相关的访问控制工具的集合，其前端支持LDAP的查询，目的是对.net中涉及的所有网络对象提供目录服务。各个schema在一个树森林中是唯一的。普通的LDAP客户端工具与AD并不兼容。Windows2000自带有一些LDAP客户端工具，包括ldifde.exe，ldp.exe。并提供专门的LDAP程序接口ASDI。同时，可以在WINDOWS管理台上添加AD管理snap-in，配合已有的AD基本管理工作。使用以上工具可以得到微软样式的详情，但总的来说，Windows2000原则上不鼓励用户在AD的基础上进一步的开发，没有更多的开发资料。Windows2000中，访问AD记录的API被集成到了内核，服务于Windows2000从主机权限和对象管理，直接网络的权限和对象管理，同时API细节没有对外公开。因此，某种程度上，AD是一个只对Windows2000有用的目录服务，AD连同访问API，形成一个基于X.500－LDAP的孤岛，从一开始就没有打算与其他厂商产品有兼容的余地，这也是微软的一贯风格。参考：http://www.microsoft.com/windows2000/en/server/help/default.asp?url=/windows2000/en/server/help/sag_ADschema_Intro.htmhttp://msdn.microsoft.com/library/default.asp?url=/library/en-us/netdir/ad/schema_implementation.aspAD在Windows2000中注册表中的位置是：HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NTDS\使用AD时，用户可以自行在微软样式的基础上添加新的类和属性，微软称这个就是schema的增添，这与UNIX环境下有一些不同，用户余地较少。如果真的需要添加，可以使用按：http://www.microsoft.com/windows2000/techinfo/planning/activedirectory/adschemasteps.asp的指示一步步做，也可以预先做好ldif文件，使用ldifde.exe一次性地进行添加，效果是一样的。在默认的状况下，Windows2000的AD初始具备三个上下文对象：dc=domainname;微软定义domainname必须是examples.com格式，即dc=example,dc=com;这是定义域名;cn=Configuration,dc=example,dc=com;这一上下文的条目存储设置信息；cn=schema,cn=configuration,dc=example,dc=com;这一上下文的条目存储schema设计信息;第五节LDAP目录服务的优势如果需要开发一种提供