LDAP 学习总结

摘自：https://lework.github.io/2019/07/18/ldap/

安装使用

参考：

1. http://ldapdoc.eryajf.net/pages/f081dc/
2. https://github.com/behappy-project/behappy-docker-application/tree/master/ldap

LDAP 概念

LDAP 是轻量目录访问协议，英文全称是 Lightweight Directory Access Protocol，一般都简称为 LDAP。它是基于 X.500 标准的，但是简单多了并且可以根据需要定制。与 X.500 不同，LDAP 支持 TCP/IP，这对访问 Internet 是必须的。LDAP 的核心规范在 RFC 中都有定义，所有与 LDAP 相关的 RFC 都可以在 LDAPman RFC 网页中找到。简单说来，LDAP 是一个得到关于人或者资源的集中、静态数据的快速方式。LDAP 是一个用来发布目录信息到许多不同资源的协议。通常它都作为一个集中的地址本使用，不过根据组织者的需要，它可以做得更加强大。

现在市场上有关 LDAP 的产品已有很多，各大软件公司都在他们的产品中集成了 LDAP 服务，如 Microsoft 的 ActiveDirectory、Lotus 的 Domino Directory、IBM 的 WebSphere 中也集成了 LDAP 服务。LDAP 的开源实现是 OpenLDAP，它比商业产品一点也不差，而且源码开放。

OpenLDAP 是最常用的目录服务之一，它是一个由开源社区及志愿者开发和管理的一个开源项目，提供了目录服务的所有功能，包括目录搜索、身份认证、安全通道、过滤器等等。大多数的 Linux 发行版里面都带有 OpenLDAP 的安装包。OpenLDAP 服务默认使用非加密的 TCP/IP 协议来接收服务的请求，并将查询结果传回到客户端。由于大多数目录服务都是用于系统的安全认证部分比如：用户登录和身份验证，所以它也支持使用基于 SSL/TLS 的加密协议来保证数据传送的保密性和完整性。OpenLDAP 是使用 OpenSSL 来实现 SSL/TLS 加密通信的。

LDAP 的信息模型是建立在"条目"（entries）的基础上。一个条目是一些属性的集合，并且具有一个全局唯一的"可区分名称"DN，一个条目可以通过 DN 来引用。每一个条目的属性具有一个类型和一个或者多个值。类型通常是容易记忆的名称，比如 cn 是通用名称（common name），或者 mail 是电子邮件地址。条目的值的语法取决于属性类型。比如，cn 属性可能具有一个值 Babs Jensen。一个 mail 属性可能包含 bbs@example.com。一个 jpegphoto 属性可能包含一幅 JPEG（二进制）格式的图片。

LDAP 常用关键字列表

LDAP 通过属性 objectClass 来控制哪一个属性必须出现或允许出现在一个条目中，它的值决定了该条目必须遵守的模式规则。

LDAP 支持的目录操作

包括：查询目录、更新目录、增加条目、删除条目、改变条目名称，搜索信息，最常用的 LDAP 操作是搜索信息操作。LDAP 的搜索操作允许搜索目录的一部分，例如查找匹配某个搜索过滤器规则的条目，搜索在 dc=example,dc=com 条目之中或者之下的整个目录子树，查找一个名字叫做 Barbara Jensen 的个人，并且获取每一个找到的条目的电子邮件地址。

LDAP 协议介绍

目录是一组具有类似属性、以一定逻辑和层次组合的信息。常见的例子是通讯簿，由以字母顺序排列的名字、地址和电话号码组成。目录服务是一种在分布式环境中发现目标的方法。目录具有两个主要组成部分：

• 第一部分是数据库，数据库是分布式的，且拥有一个描述数据的规划。
• 第二部分则是访问和处理数据的各种协议。

目录服务其实也是一种数据库系统，只是这种数据库是一种树形结构，而不是通常使用的关系数据库。目录服务与关系数据库之间的主要区别在于：二者都允许对存储数据进行访问，只是目录主要用于读取，其查询的效率很高，而关系数据库则是为读写而设计的。

目录服务不适于进行频繁的更新，属于典型的分布式结构。

LDAP 是一个目录服务协议，目前存在众多版本的 LDAP，而最常见的则是 V2 和 V3 两个版本，它们分别于 1995 年和 1997 年首次发布。

LDAP 的基本模型

LDAP 的基本模型是建立在"条目"（Entry）的基础上。一个条目是一个或多个属性的集合，并且具有一个全局唯一的"可区分名称"（用 dn 表示）。与关系型数据（后面简称数据库）进行类比，一个条目相当于数据库中的一条记录，而 dn 相当于数据库中记录的关键字，属性相当于数据库中的字段。

dn 必须是全局唯一的。

LDAP 中，将数据组织成一个树形结构，这与现实生活中的很多数据结构可以对应起来，而不像设计关系型数据库的表，需要进行多种变化。如下图所展示的就是一个树形结构的数据。

1
2
3
4
5
6
7
8
9
10
11

               +-------------------------------------------+
               |             o=example.com                 |
               +-------------------+-----------------------+
               |                   |                       |
   +-----------+              +----+----+                  +---------+
   |ou=managers|              |ou=people|                  |ou=group |  
   +----+---+--+              +--+---+--+                  +--+---+--+
        |   |                    |   |                        |   |
+--------+  +-----+     +--------+   +--------+      +-------->   +-------+
|cn=admin|  |cn=le|     |ou=test1|   |ou=test2|      |cn=admin|   |cn=ldap|
+--------+  +-----+     +--------+   +--------+      +--------+   +-------+

在上图所示的树形结构中，树的根结点是一个组织的域名（example.com），其下分为 3 个部分，分别是 managers、people 和 group，可将这 3 个组看作组织中的 3 个部门：如 managers 用来管理所有管理人员，people 用来管理登录系统的用户，group 用来管理系统中的用户组。当然，在该图中还可继续增加其他分支。

对于图中所示的树形结构，使用关系数据库来保存数据的话，需要设置多个表，一层一层分别保存，当需要查找某个信息时，再逐层进行查询，最终得到结果。

若使用目录来保存该图中的数据，则更直观。图中每个结点用一个条目来保存，不同类型的结点需要保存的数据可能不同，在 LDAP 中通过一个称为 objectClass 的类型来控制不同结点需要的数据（称为属性）。

对于目录中的数据怎样进行引用呢？前面提到过，每一个条目都有一个 dn，因为 dn 是唯一的，因此就可找到需要结点的数据。dn 的构造方式如下：

首先得到条目自己的名称（rdn，称为相对 dn），然后开始向上逐级查找父结点，一直到根项为止。例如，对于图中最右下方的结点，其 dn 为：

1

dn: cn=ldap,ou=group,o=dlw.com

通过这样的方式，即可唯一标识每一个结点。在现实生活中，有很多这种树形结构的数据，如计算机文件系统的目录结构、Internet 中的域名等。这些类型的数据，只要不需要频繁的更新，都适合用目录来保存。

LDAP 主要的简称含义：

• o → organization（组织-公司）
• ou → organization unit（组织单元-部门）
• c → countryName（国家）
• dc → domainComponent（域名）
• sn → user name（真实名称）
• cn → common name（常用名称）

LDAP 的功能

在 LDAP 的功能模型中定义了一系列利用 LDAP 协议的操作，主要包含以下 4 部分：

• 查询操作：允许查询目录和取得数据，其查询性能比关系数据库好。
• 更新操作：目录的更新操作没关系数据库方便，更新性能较差，但也同样允许进行添加、删除、修改等操作。
• 复制操作：前面也提到过，LDAP 是一种典型的分布式结构，提供复制操作，可将主服务器的数据的更新复制到设置的从服务器中。
• 认证和管理操作：允许客户端在目录中识别自己，并且能够控制一个会话的性质。

LDAP 的高级功能：

• 实现账号统一集中管理
• 权限控制策略管理
• 密码控制策略管理
• 密码审计管理
• 主机控制管理
• 同步机制管理
• TLS/SASL 加密传输
• 高可用负载均衡架构
• 自定义 schema
• 各种集中平台账号集中管理

LDAP 协议的特点

• LDAP 是一种目录服务，保存在特殊的数据库中，数据的读取速度远高于写入速度。
• LDAP 对查询做了优化，读取速度优于普通关系数据库。
• LDAP 不支持事务、不能进行回滚，需要进行这些操作的应用只有选择关系数据库。
• LDAP 采用服务器/客户端模式，服务器端用于存储数据，客户端提供操作目录信息树的工具，支持分布式结构。
• LDAP 中的条目以树形结构组织和存储。
• LDAP 基于 Internet 协议，直接运行在简单和通用的 TCP/IP 或其他可靠的传输协议层上，使连接的建立和包的处理简单、快捷，对于互联网和企业网应用都很方便。
• LDAP 协议简单，通过使用查找操作实现列表操作和读操作。
• LDAP 通过引用机制实现分布式访问，通过客户端 API 实现分布式操作（对于应用透明），平衡了负载。
• LDAP 实现具有低费用、易配置和易管理的特点，并提供了满足应用程序对目录服务所需求的特性。

LDAP 目录服务

目录是一个为查询、浏览和搜索而优化的专业分布式数据库，它呈树状结构组织数据，就好像 Linux/Unix 系统中的文件目录一样。目录数据库和关系数据库不同，它有优异的读性能，但写性能差，并且没有事务处理、回滚等复杂功能，不适于存储修改频繁的数据。所以目录天生是用来查询的，就好像它的名字一样。

目录服务是由目录数据库和一套访问协议组成的系统。类似以下的信息适合储存在目录中：

• 企业员工信息，如姓名、电话、邮箱等
• 公司的物理设备信息，如服务器，它的 IP 地址、存放位置、厂商、购买时间等
• 客户的联系信息
• 软件包的配置信息
• 公用证书和安全密匙

与 LDAP 一样提供类似的目录服务软件还有 ApacheDS、Active Directory、Red Hat Directory Service。

LDAP 组织数据的方式

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18

                   +----------------------+
                   |  dc=example,doc=com  |
                   +-----------+----------+
                   |           |          |
                   v           v          v
          +--------+      +----+----+     +---------+
          |ou=admin|      |ou=people|     |ou=device|
          +--------+      +---------+     +---------+
          |               |         |
          v               v         v
+---------+     +---------+         +----------+
| cn=admin|     |ou=market|         |ou=network|
+---------+     +---------+         +----------+
                |         |
                v         v
       +--------+         +-------+
       |cn=scott|         |cn=baby|
       +--------+         +-------+

身份认证在 LDAP 中提供三种认证机制

• 匿名认证：即不对用户进行认证，该方法仅对完全公开的方式适用

• 基本认证：通过用户名和密码进行身份识别，又分为简单密码和 MD5 密码认证

  1 2 3 4 5

  # ldapadd -x -D "cn=root,dc=example,dc=cn" -W -f base.ldif Enter LDAP Password: 输入admin123 adding new entry "dc=example,dc=cn" adding new entry "ou=People,dc=example,dc=cn" adding new entry "ou=Group,dc=example,dc=cn"

• SASL 认证：即 LDAP 提供的在 SSL 和 TLS 安全通道基础上进行的身份认证，包括数字证书的认证。

TLS 安全性

分布式 LDAP 是以明文的格式通过网络来发送信息的，包括 client 访问 SLDAP 的密码。TLS（SSL 的后继者，由 OpenSSL 包加密机制来解决这个问题。

LDAP 目录数据结构

• 在 LDAP 中目录是按照树型结构组织——目录信息树（DIT），DIT 是一个主要进行读操作的数据库
• DIT 由条目（Entry）组成，条目相当于关系数据库中表的记录；条目是具有分辨名 DN（Distinguished Name）的属性-值对（Attribute-value，简称 AV）的集合

在目录树中怎么组织数据：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19

uid=test1,ou=People,dc=example,dc=com

                 +----------------------+
                 |Base:dc=example,dc=com|
                 +-----------+----------+
                             |
             +---------------+-------------+
             |                             |
             v                             v
       +-----+---+                    +----+----+
       |ou=People|                    |ou=Groups|
       +----+----+                    +----+----+
            |                              |
     +------+------+                +------+------+
     |             |                |             |
     v             v                v             v
+----+----+   +----+----+     +-----+----+  +-----+----+
|uid=test1|   |uid=test2|     |gid=group1|  |gid=group2|
+---------+   +---------+     +----------+  +----------+

• 在 UNIX 文件系统中，最顶层是根目录（root），LDAP 目录也通常用 ROOT 做根，通常称为 BaseDN。
• 因为历史（X.500）的原因，LDAP 目录用 OU（Organization Unit）从逻辑上把数据分开来。OU 也是一种条目，容器条目。
• OU 下就是真正的用户条目。

什么是 dn？

dn 即 distinguished name 的简称，在 LDAP 中，一个条目的分辨名叫做 dn，dn 是该条目在整个树中的唯一名称标识；dn 相当于关系数据库表中的关键字（Primary Key）；dn 是一个识别属性，通常用于检索。

常见的两种 dn 设置：

1
2
3
4

[root@ldap-server ~]# ldapsearch -x -LLL "uid=mac*"
dn: uid=mac,ou=People,dc=example,dc=cn         # 唯一标识
uid: mac
cn: mac

LDAP 基本管理

启动 OpenLDAP 服务器程序之后，接下来的操作就是通过客户端程序对目录进行操作，包括添加、修改、删除和搜索数据等操作。

Entry

条目，也叫记录项，是 LDAP 中最基本的颗粒，就像字典中的词条，或者是数据库中的记录。通常对 LDAP 的添加、删除、更改、检索都是以条目为基本对象的。

• dn：每一个条目都有一个唯一的标识名（distinguished Name，DN），如上述中一个 dn：uid=mac,ou=People,dc=example,dc=cn。通过 DN 的层次型语法结构，可以方便地表示出条目在 LDAP 树中的位置，通常用于检索。
• rdn：一般指 dn 逗号最左边的部分，如 cn=baby。它与 RootDN 不同，RootDN 通常与 RootPW 同时出现，特指管理 LDAP 中信息的最高权限用户。
• Base DN：LDAP 目录树的最顶部就是根，也就是所谓的 "Base DN"，如 dc=example,dc=com。

Schema

对象类（ObjectClass）、属性类型（AttributeType）、语法（Syntax）分别约定了条目、属性、值，他们之间的关系如下图所示。所以这些构成了模式（Schema）——对象类的集合。条目数据在导入时通常需要接受模式检查，它确保了目录中所有的条目数据结构都是一致的。

schema（一般在 /etc/ldap/schema/ 目录）在导入时要注意前后顺序。

对于 LDAP 目录中保存的信息，可以使用 LDIF（LDAP Interchange Format）格式来保存。这是一种标准文本文件格式，使用这种格式保存得的 LDAP 服务器数据库中的数据可方便读取和修改，这也是其他大多数服务配置文件所采取的格式。

LDIF 文件常用来向目录导入或更改记录信息，这些信息需要按照 LDAP 中 schema 的格式进行组织，并会接受 schema 的检查，不符合其要求的格式将会出现报错信息。

在 LDAP 中，schema 用来指定一个目录中所包含的对象（objects）的类型（objectClass），以及每一个类型（objectClass）中必须提供的属性（Attribute）和可选的属性。可将 schema 理解为面向对象程序设计中的类，通过类定义一个具体的对象。LDIF 中的数据条目可理解为是一个具体的对象，是通过 schema 来规划创建的。因此，schema 是一个数据模型，用来决定数据按什么方式存储，并定义存储在不同的条目（Entry）下的数据之间的关系。schema 需要在主配置文件 slapd.conf 中指定，以用来决定在目录中可以使用哪些 objectClass。

在 /etc/openldap/schema/ 目录中提供了许多 schema 文件，只需要在配置文件 slapd.conf 中使用 include 命令将需要使用的 schema 包含即可。例如，配置文件默认包含了以下 schema 文件：

1
2
3
4

include /etc/openldap/schema/core.schema
include /etc/openldap/schema/cosine.schema
include /etc/openldap/schema/inetorgperson.schema
include /etc/openldap/schema/nis.schema

通常使用系统提供的 schema 就可解决大部分应用。管理员也可以自己设计制定 schema，一般包括属性定义（AttributeDefinition）、类定义（ClassDefinition）以及语法定义（SyntaxDefinition）等部分。

向目录数据库中添加数据

初始状态下，LDAP 是一个空目录，即没有任何数据。可通过程序代码向目录数据库中添加数据，也可使用 OpenLDAP 客户端工具 ldapadd 命令来完成添加数据的操作，该命令可将一个 LDIF 文件中的条目添加到目录。因此，需要首先创建一个 LDIF 文件，然后再进行添加操作。

LDIF 文本条目格式

LDIF（LDAP Data Interchange Format，数据交换格式）是 LDAP 数据库信息的一种文本格式，用于数据的导入导出，每行都是"属性: 值"对。

LDIF 用文本格式表示目录数据库的信息，以方便用户创建、阅读和修改。在 LDIF 文件中，一个条目的基本格式如下：

1
2
3
4
5
6

# 注释
dn: 条目名
属性描述: 值
属性描述: 值
属性描述: 值
... ...

dn 行类似于关系数据库中一条记录的关键字，不能与其他 dn 重复。一个 LDIF 文件中可以包含多个条目，每个条目之间用一个空行分隔。例如，以下内容组成一个条目：

1
2
3
4
5
6

dn: dc=example,dc=com
objectclass: top
objectclass: dcobject
objectclass: organization
dc: example
o: Example,Inc.

在以上文本中，各行含义如下：

• 第 1 行的 dn 定义该条目的标识。
• 第 2～4 行定义该条目的 objectClass，可以定义多个属性，如上面代码中定义了 3 个 objectClass。条目的属性根据 objectClass 的不同而不同，有的 objectClass 有必须设置的属性。在 2～4 行的 3 个 objectClass 中，top 没有必须定义的属性，dcobject 必须定义属性 dc，用来表示一个域名的部分，而 organization 必须定义属性 o，用来表示一个组织的名称。
• 根据 objectClass 的要求，第 5、6 行分别定义属性 dc 和属性 o 的值。

objectClass

LDAP 中，一个条目必须包含一个 objectClass 属性，且需要赋予至少一个值。每一个值将用作一条 LDAP 条目进行数据存储的模板；模板中包含了一个条目必须被赋值的属性和可选的属性。objectClass 有着严格的等级之分，最顶层是 top 和 alias。例如，organizationalPerson 这个 objectClass 就隶属于 person，而 person 又隶属于 top。

objectClass 可分为以下 3 类：

• 结构型（Structural）：如 person 和 organizationUnit
• 辅助型（Auxiliary）：如 extensibleObject
• 抽象型（Abstract）：如 top，抽象型的 objectClass 不能直接使用

对象类是属性的集合，LDAP 预想了很多人员组织机构中常见的对象，并将其封装成对象类。比如人员（person）含有姓（sn）、名（cn）、电话（telephoneNumber）、密码（userPassword）等属性，单位职工（organizationalPerson）是人员（person）的继承类，除了上述属性之外还含有职务（title）、邮政编码（postalCode）、通信地址（postalAddress）等属性。

通过对象类可以方便的定义条目类型。每个条目可以直接继承多个对象类，这样就继承了各种属性。如果 2 个对象类中有相同的属性，则条目继承后只会保留 1 个属性。对象类同时也规定了哪些属性是基本信息，必须含有（Must 或 Required，必要属性）；哪些属性是扩展信息，可以含有（May 或 Optional，可选属性）。

对象类有三种类型：结构类型（Structural）、抽象类型（Abstract）和辅助类型（Auxiliary）。结构类型是最基本的类型，它规定了对象实体的基本属性，每个条目属于且仅属于一个结构型对象类。抽象类型可以是结构类型或其他抽象类型父类，它将对象属性中共性的部分组织在一起，称为其他类的模板，条目不能直接集成抽象型对象类。辅助类型规定了对象实体的扩展属性。每个条目至少有一个结构性对象类。

对象类本身是可以相互继承的，所以对象类的根类是 top 抽象型对象类。以常用的人员类型为例，他们的继承关系：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22

                 +----------+
                 |top       |
                 |(Abstract)|
                 +----------+
                       ^
                       |
                +------------+     +-----------+
                |person      |     |ePerson    |
                |(Structural)+<----+(Auxiliary)|
                +------------+     +-----------+
                ^            ^
                |            |
+-------------------+      +----------------+
|organizationaPerson|      |residentiaPerson|
|(Structural)       |      |(Structural)    |
+-------------------+      +----------------+
         ^
         |
  +--------------+
  |inetOrgPerson |
  |(Structural)  |
  +--------------+

在 OpenLDAP 的 schema 中定义了很多 objectClass，下面列出部分常用的 objectClass 的名称。

• account
• alias
• dcobject
• domain
• ipHost
• organization
• organizationalRole
• organizationalUnit
• person
• organizationalPerson
• inetOrgPerson
• residentialPerson
• posixAccount
• posixGroup

Attribute

属性（Attribute）类似于程序设计中的变量，可以被赋值。在 OpenLDAP 中声明了许多常用的 Attribute（用户也可自己定义 Attribute）。

每个条目都可以有很多属性（Attribute），比如常见的人都有姓名、地址、电话等属性。每个属性都有名称及对应的值，属性值可以有单个、多个，比如你有多个邮箱。

属性不是随便定义的，需要符合一定的规则，而这个规则可以通过 schema 制定。比如，如果一个 entry 没有包含在 inetorgperson 这个 schema 中的 objectClass: inetOrgPerson，那么就不能为它指定 employeeNumber 属性，因为 employeeNumber 是在 inetOrgPerson 中定义的。

LDAP 为人员组织机构中常见的对象都设计了属性（比如 commonName、surname）。下面有一些常用的别名：

常见的 Attribute 含义如下：

• c：国家
• cn：common name，指一个对象的名字。如果指人，需要使用其全名
• dc：domain Component，常用来指一个域名的一部分
• givenName：指一个人的名字，不能用来指姓
• l：指一个地名，如一个城市或者其他地理区域的名字
• mail：电子信箱地址
• o：organizationName，指一个组织的名字
• ou：organizationalUnitName，指一个组织单元的名字
• sn：surname，指一个人的姓
• telephoneNumber：电话号码，应该带有所在的国家的代码
• uid：userid，通常指某个用户的登录名，与 Linux 系统中用户的 uid 不同

objectClass 是一种特殊的 Attribute，它包含其他用到的 Attribute 以及其自身。

对于不同的 objectClass，通常具有一些必设属性值和一些可选属性值。例如，可使用 person 这个 objectClass 来表示系统中一个用户的条目，对于系统中用户通常需要有这样一些信息：姓名、电话、密码、描述等。对于 person，通过 cn 和 sn 设置用户的名和姓，这是必须设置的，而其他属性则是可选的。

下面列出部分常用 objectClass 要求必设的属性：

• account：userid
• organization：o
• person：cn 和 sn
• organizationalPerson：与 person 相同
• organizationalRole：cn
• organizationUnit：ou
• posixGroup：cn、gidNumber
• posixAccount：cn、gidNumber、homeDirectory、uid、uidNumber

创建 LDIF 文件

对以上内容有一定了解之后，就可以编写输入 LDIF 文件，编辑需要向目录数据库添加的条目了。下面根据如下图所示的结构，创建 LDIF 文件 example.com.ldif。

1
2
3
4
5
6
7
8
9
10
11
12
13

              +----------------------+
              |  dc=example,doc=com  |
              +----------------------+
              |
              v
     +--------+--+
     |ou=managers|
     +-+------+--+
       |      |
       v      v
+------+-+   ++-------+
|cn=admin|   |cn=test|
+--------+   +--------+

对上图进行分析，该目录结构分为 3 层，有 4 个结点。根据上图可创建 LDIF 文件如下：

每个结点可用一个 dn 表示，对于每个结点，又可继续添加新的结点。如在根结点中可添加其他部门 ou，在 ou=managers 结点也可继续添加其他管理人员的信息。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20

dn: dc=example,dc=com
objectclass: top
objectclass: dcobject
objectclass: organization
dc: example
o: example,Inc.

dn: ou=managers,dc=example,dc=com
ou: managers
objectclass: organizationalUnit

dn: cn=admin,ou=managers,dc=example,dc=com
cn: admin
sn: admin
objectclass: person

dn: cn=test,ou=managers,dc=example,dc=com
cn: test
sn: test
objectclass: person

以上文件中各行的含义如下：

• 第 1～6 行创建根结点，这部分在前面也有介绍，就不再重复了。
• 第 7、11、16 行为空行，用来分隔 4 个 dn 条目（4 个结点）。
• 第 8～10 行定义 ou=managers 结点的条目，该条目的 objectClass 为 organizationalUnit，因此需要用 ou 属性定义组织名称。
• 第 12～15 行定义 cn=admin 结点的条目，该条目使用的 objectClass 为 person，因此需设置 cn 和 sn 两个属性值。
• 第 17～20 行与第 12～15 行的意义相同。

在以上 LDIF 文件中，第 1、8、12、17 行以 dn 开头，这部分内容必须唯一，并且在向目录数据库添加这些数据时，也要确保这些数据不能与目录数据库中已有数据相同，否则，添加操作将中断。

LDAP 命令的使用

增加：ldapadd

1
2
3
4
5
6
7
8
9

# 选项：
-x   进行简单认证
-D   用来绑定服务器的 DN
-h   目录服务的地址
-w   绑定 DN 的密码
-f   使用 ldif 文件进行条目添加的文件

# 示例：将 test.ldif 中的数据导入 ldap
ldapadd -x -D "cn=root,dc=example,dc=com" -w password -f /root/test.ldif

删除：ldapdelete

1
2
3
4
5
6
7
8
9
10

# 选项：
-c         连续运行模式（运行出错时跳过继续执行）
-f file    指定文件
-M         启用管理 DSA IT 控制
-P version 协议版本（default: 3）
-r         递归删除

# 示例：
ldapdelete -x -D "cn=Manager,dc=example,dc=com" -w password "uid=test1,ou=People,dc=test,dc=com"
ldapdelete -x -D 'cn=root,dc=it,dc=com' -w password 'uid=zyx,dc=it,dc=com'

修改：ldapmodify

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24

# 选项：
-a 添加新的条目。缺省的是修改存在的条目。
-C 自动追踪引用。
-c 出错后继续执行程序并不中止。缺省情况下出错的立即停止。
-D binddn 指定搜索的用户名（一般为一 dn 值）。
-e 设置客户端证书文件，例：-e cert/client.crt
-E 设置客户端证书私钥文件，例：-E cert/client.key
-f file 从文件内读取条目的修改信息而不是从标准输入读取。
-H ldapuri 指定连接到服务器 uri。常见格式为 ldap://hostname:port
-h ldaphost 指定要连接的主机的名称/ip 地址。它和 -p 一起使用。
-p ldapport 指定要连接目录服务器的端口号。它和 -h 一起使用。
-M[M] 打开 manage DSA IT 控制。-MM 把该控制设置为重要的。
-n 用于调试到服务器的通讯。但并不实际执行搜索。服务器关闭时，返回错误；服务器打开时，常和 -v 参数一起测试到服务器是否是一条通路。
-v 运行在详细模块。在标准输出中打出一些比较详细的信息。比如：连接到服务器的 ip 地址和端口号等。
-V 启用证书认证功能，目录服务器使用客户端证书进行身份验证，必须与 -ZZ 强制启用 TLS 方式配合使用，并且匿名绑定到目录服务器。
-W 指定了该参数，系统将弹出一提示入用户的密码。它和 -w 参数相对使用。
-w bindpasswd 直接指定用户的密码。它和 -W 参数相对使用。
-x 使用简单认证。
-Z[Z] 使用 StartTLS 扩展操作。如果使用 -ZZ，命令强制使用 StartTLS 握手成功。

# 示例：
ldapmodify -x -D "cn=root,dc=it,dc=com" -W -f modify.ldif
# 交互式修改
ldapmodify -x -D "cn=root,dc=it,dc=com" -W secret

查询：ldapsearch

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15

# 选项：
-x   进行简单认证
-D   用来绑定服务器的 DN
-w   绑定 DN 的密码
-b   指定要查询的根节点
-H   指定要查询的服务器

# 示例：
ldapsearch -x -D "cn=root,dc=kevin,dc=com" -w secret -b "dc=kevin,dc=com"

# 使用简单认证，用 "cn=root,dc=kevin,dc=com" 进行绑定，要查询的根是 "dc=kevin,dc=com"。
# 这样会把绑定的用户能访问 "dc=kevin,dc=com" 下的所有数据显示出来。

ldapsearch -x -W -D "cn=administrator,cn=users,dc=osdn,dc=cn" -b "cn=administrator,cn=users,dc=osdn,dc=cn" -h troy.osdn.zzti.edu.cn
ldapsearch -b "dc=canon-is,dc=jp" -H ldaps://192.168.10.192:389

设置密码：ldappasswd

1
2
3
4
5
6
7
8
9
10
11
12
13

# 选项：
-x   进行简单认证
-D   用来绑定服务器的 DN
-w   绑定 DN 的密码
-S   提示的输入密码
-s pass 把密码设置为 pass
-a pass 设置 old passwd 为 pass
-A   提示的设置 old passwd
-H   指定要绑定的服务器
-I   使用 sasl 会话方式

# 示例：
ldappasswd -x -D 'cn=root,dc=it,dc=com' -w secret 'uid=zyx,dc=it,dc=com' -S

数据导出：slapcat

1
2
3
4
5

# 选项：
-l   表示导出为 LDIF 文件格式

# 示例：
slapcat -l export.ldif

从导出结果可看出，除了使用 ldapadd 命令添加到目录数据库中的条目数据外，还导出了很多其他信息，包括条目 UUID、时间戳等信息。