LDAP（轻量级目录访问协议，Lightweight Directory Access Protocol）是一种用于访问和管理目录服务的应用协议。它是基于 TCP/IP 的协议，主要用于组织和提供用户、计算机、设备等信息的目录查询和更新。LDAP 被广泛应用于企业环境中，作为身份验证、目录服务、用户管理等关键功能的基础协议。

LDAP 的基本概念

  1. 目录服务：LDAP 是一种专门设计用于查询和更新目录信息的协议。目录服务通常存储大量的组织信息，如用户账户、密码、权限等。
  2. 树形结构：LDAP 使用类似于文件系统的树形结构组织数据，称为“目录信息树”（DIT）。每个条目（entry）代表目录中的一个对象，如用户、组或设备。
  3. DN（Distinguished Name）：每个 LDAP 条目都有一个唯一的“区分名”（DN），它标识了该条目在目录树中的位置。例如，uid=john,ou=users,dc=example,dc=com。
  4. 属性和对象类：LDAP 中的每个条目由多个属性（如用户名、邮箱、电话等）构成，并且这些属性遵循预定义的对象类。每个对象类定义了条目应包含的属性。
  5. 操作：LDAP 协议支持常见的操作，包括查找、修改、添加、删除条目等。常见的 LDAP 操作有：
  • Bind：用于认证客户端。
  • Search：用于查询目录中的条目。
  • Modify：用于修改现有条目。
  • Add：用于添加新条目。
  • Delete：用于删除条目。

LDAP 的应用场景

  1. 用户身份验证：LDAP 被广泛用于集中化身份验证系统，如 Active Directory 就是基于 LDAP 的目录服务。它帮助企业集中管理用户的登录凭证（如用户名和密码）。
  2. 访问控制：LDAP 可以用来定义和管理访问权限，根据用户身份和角色来限制对特定资源的访问。
  3. 信息查询：LDAP 提供高效的信息查询功能，用于在大型组织中快速查找用户、设备、权限等数据。
  4. 集中管理：LDAP 允许管理员通过一个中央目录统一管理所有组织资源，如组织结构、设备、服务等。

示例

假设你想查询一个组织中所有用户的电子邮件地址，可以通过 LDAP 查询来实现：

ldapsearch -x -b "dc=example,dc=com" "(objectClass=person)" mail

这条命令会搜索 dc=example,dc=com 下所有的 person 对象，并返回它们的邮件属性。

LDAP 与其他目录服务的区别

  1. 与 Active Directory 的关系：Active Directory 是微软的目录服务，基于 LDAP 协议，但它还支持更多功能，比如 Kerberos 身份验证和域控制等。LDAP 是其基础协议，但 AD 提供了更多的高级功能。
  2. 与 NIS 的区别：NIS（网络信息服务）是早期的一个目录服务协议，用于 UNIX 系统中的用户信息共享。与 LDAP 相比，NIS 的功能较为简单且安全性较低，因此被 LDAP 替代。

总结

LDAP 是一种非常灵活和高效的目录服务协议，广泛用于身份验证、访问控制以及信息查询等场景。通过树形结构、分布式的管理方式，LDAP 能有效支持大型组织的信息管理需求。