LDAP基础

LDAP的历史

LDAP v1 在 1994年3月由密西根大学发布,当初设计是为了作为访问X.500目录的轻型方法,但是后来逐渐发展成提供存取目录能力.

LDAP v2 在1995年3月发布,在1996年4月,包含Microsoft,Netscape等40多家企业宣布支持LDAP,因此LDAP得到极大的推广.

LDAP v3 也是现在使用的版本,是在1997年12月发布,在信息模块,命名模板,功能模型,安全模型等等方面均有加强.

LDAP是什么,干什么用?

LDAP是Lightweight Directory Access Protocol的缩写,中文意思是目录服务的协议,并且以树状结构来存储数据.
主要用来存储企业人员信息和组织架构,进行统一认证管理.
同时可以与第三方应用集成,实现针对企业内部的人员或部门访问权限管理.

LDAP主要解决的问题?

• 企业人员权限与账户安全管理.
• 企业内部的数据,应用,资源的访问权限管理.
• 人员信息集中管理.
• 解决企业人员流动权限变更不及时
  1 导致企业数据丢失
  2 应用访问权限外泄
  3 重要文件泄露.

LDAP目录数据结构

image.png

数据传输安全

在LDAP中提供了基于SSL/TLS的通讯安全保障。SSL/TLS是基于PKI信息安全技术，是当前Internet上广泛采用的安全服务。LDAP通过StartTLS方式启动TLS服务，可以提供通讯中的数据保密性、完整性保护；通过强制客户端证书认证的TLS服务，同时可以实现对客户端身份和服务器端身份的双向验证。

LDAP 属性(Attribute)

属性	解释
CN	人名或者组名
OU	组织单位
O	组织名称
DC	域名
UID	用户登入名
C	国家名称
ST	省的名称

---

LDAP VS AD

LDAP与MS-AD的关系

一个公式就可以表达

Active Directory = LDAP服务器＋LDAP应用（Windows域控）

Active Directory先实现一个LDAP服务器，然后自己先用这个LDAP服务器实现了自己的一个具体应用（域控）.

第一手的用户体验

经过多年的使用体验,不同公司的历练.做了简单的对比具体如下

	LDAP	MS-AD
操作体验	繁琐	简单
支持IT系统数量	多	少
系统稳定性	低	高
集成IT系统难度	高	低
费用	免费	贵的要死
最喜欢用的团队	技术团队	老板/IT

---

Best Practices for LDAP

OPENLDAP主要应用场景

遇到烦恼

公司有很多IT系统,例如:企业邮箱,github,jenkins,grafna,zabbix,vpn,HR系统,用友,金蝶,文件系统,aws,aliyun,cmdb,jira,confluence....等等.

在新员工入职时,要做的恶心事情.

• 要根据员工的职位,确认开通IT系统的权限.
• 在对应的IT系统中添加账户,设置密码.
• 各种渠道通知到新员工,IT系统权限和IT系统访问地址.

在老员工离职时,上面的事又要做一遍.

在正常工作时,很多员工因各种奇葩原因忘记密码,来找你重置,修改.

在员工升职,调换岗位.又是一通修改和删除.

有木有很崩溃?这还不够,一个员工需要手动操作N次,每天会有0-N个员工,如果出现误操作,导致数据泄露.这口锅直接背起.有木有感觉不会再爱了.

改变(解决方案)

说了那么多痛点,其实解决方案很简单,有个认证管理中心就可以解决了.那就是LDAP

人员部门目录结构设计(最佳实例)

image.png

OpenLDAP的主主同步

企业身份认证中心,sla很重要,一定要做高可用.

环境:

node1: 192.168.1.1

node2: 192.168.1.2

node1 配置:

    index objectclass,entryCSN,entryUUID eq  
    overlay syncprov  
    syncprov-checkpoint 100 10  
    syncprov-sessionlog 100  

    serverID    1  
    syncrepl      rid=yufu  
                  provider=ldap://192.168.1.2
                  bindmethod=simple  
                  binddn="cn=admin,dc=yufuid,dc=com"  
                  credentials=123456  
                  searchbase="dc=yufuid,dc=com"  
                  schemachecking=off  
                  type=refreshAndPersist  
                  retry="60 +"  
    mirrormode on</pre>

node2 配置:

vim /etc/openldap/alapd.conf

    index objectclass,entryCSN,entryUUID eq  
    overlay syncprov  
    syncprov-checkpoint 100 10  
    syncprov-sessionlog 100  

    serverID    2  
    syncrepl      rid=yufu  
                  provider=ldap://192.168.1.1
                  bindmethod=simple  
                  binddn="cn=admin,dc=yufuid,dc=com"  
                  credentials=123456  
                  searchbase="dc=yufuid,dc=com"  
                  schemachecking=off  
                  type=refreshAndPersist  
                  retry="60 +"  
    mirrormode on</pre>

---

扩展知识:

X500协议:

该标准旨在拥有一个分布全球的目录，并且带有标准访问接口。X.500目录标准极其复杂。
作为其设计操作平台的OSI网络协议也比现在通常使用的传输控制协议，Internet 协议（TCP/IP）套件复杂得多。

X.500标准最初由CCITT于1990 年作为《X.500蓝皮书建议》发布并由ISO于1991年作为《ISO / IEC 9594：目录》发布。从那时起，X.500已经得到发展和增强，并在1993年和1997年两次更新。