什么是LDAP

• LDAP是一种通讯协议，LDAP支持TCP/IP。协议就是标准，并且是抽象的。在这套标准下，AD（Active Directory）是微软出的一套实现。 基于X.500标准的轻量级目录访问协议。目录是一个为查询、浏览和搜索而优化的数据库，它成树状结构组织数据，类似文件目录一样。

暂且把它理解成是个数据库。也有很多人直接把LDAP说成数据库(可以把LDAP理解成存储数据的数据库)。像是其他数据库一样，LDAP也是有client端和server端。server端是用来存放资源，client端用来操作增删改查等操作。

• LDAP 目录服务器将信息以树形的方式组织，每一项都可以包含 0 个或多个子项。这样的结构叫做目录信息树。
• 目录数据库和关系数据库不同，它有优异的读性能，但写性能差，并且没有事务处理、回滚等复杂功能，不适于存储修改频繁的数据。所以目录天生是用来查询的，就好象它的名字一样。
• 目录服务是一个特殊的数据库，用来保存描述性的、基于属性的详细信息，支持过滤功能。 是动态的，灵活的，易扩展的。如：人员组织管理，电话簿，地址簿。
  目录是专门为搜索和浏览而设计的专用数据库，支持基本的查找和更新功能。

LDAP目录服务是由目录数据库和一套访问协议组成的系统。

目录树

像MySQL数据库，数据都是按记录一条条记录存在表中。而LDAP数据库，是树结构的，数据存储在叶子节点上。

• 目录树：在一个目录服务系统中，整个目录信息集可以表示为一个目录信息树，树中的每个节点是一个条目。
• 条目：每个条目就是一条记录，每个条目有自己的唯一可区别的名称（DN）。
• 对象类：与某个实体类型对应的一组属性，对象类是可以继承的，这样父类的必须属性也会被继承下来。
• 属性：描述条目的某个方面的信息，一个属性由一个属性类型和一个或多个属性值组成，属性有必须属性和非必须属性。

树（dc=ljheee)
分叉（ou=bei,ou=xi,ou= dong）
苹果（cn=redApple）
redApple的位置出来了：
dn:cn=honglv,ou=bei,ou=xi,ou=dong,dc=ljheee
其中dn标识一条记录，描述了一条数据的详细路径。

总结一下LDAP树形数据库如下：
dn ：一条记录的详细位置
dc ：一条记录所属区域 (哪一颗树)
ou ：一条记录所属组织 （哪一个分支）
cn/uid：一条记录的名字/ID (哪一个苹果名字)
LDAP目录树的最顶部就是根，也就是所谓的“基准DN"。
dn: cn=ldap,ou=group,o=dlw.com

• o->　organization(组织-公司)
• ou->　organization unit(组织单元-部门)
• c->　countryName(国家)
• dc-> domainComponent(域名)
• sn-> suer name(真实名称)
• cn-> common name(常用名称)

LDAP的主要产品

AD Server

1. 连接到LDAP服务器；
2. 绑定到LDAP服务器；
3. 在LDAP服务器上执行所需的任何操作；
4. 释放LDAP服务器的连接；

LDAP协议解决的问题

LDAP是开放的Internet标准，支持跨平台的Internet协议，在业界中得到广泛认可的，并且市场上或者开源社区上的大多产品都加入了对LDAP的支持，因此对于这类系统，不需单独定制，只需要通过LDAP做简单的配置就可以与服务器做认证交互。“简单粗暴”，可以大大降低重复开发和对接的成本。

管理用户的域账号、用户信息、企业通信录（与电子邮箱系统集成）、用户组管理、用户身份认证、用户授权管理、按需实施组管理策略等。在 Windows 下，有组策略管理器，如果启用域用户认证，那么这些组策略可以统一管理，方便地限制用户的权限。

部署

linux系统可以采取命令行安装或者源码编译安装

OpenLDAP 2.3以上版本支持动态加载slapd-config（man slapd-config）
系统可以接受直接编辑的LDIF文件（不建议）
建议使用ldapadd、ldapdelete、ldapmodify编辑LDIF文件
行如果以空格开头，则被视为是前一行延续（前一行是注解也不例外）

apt-get install -y slapd admin
apt install lmdb-utils
安装完成之后，会自动生成一个OpenLDAP的系统账号
cat /etc/passwd
生成OpenLDAP管理员账号的密码（后边修改配置文件需要使用）
slappasswd
cp /usr/share/slapd/slapd.conf /etc/ldap/
配置文件中有很多@xxx@的配置替换为真实配置

验证是否正常启动
ps -ef |grep slapd
ss -tnl |grep 389
查看服务器openldap目录树信息
ldapsearch -x -b "dc=eryajf,dc=net" -H ldap://127.0.0.1

安装openldap后，会有三个命令用于修改配置文件，分别为ldapadd，ldapmodify，ldapdelete

sudo mdb_dump /var/lib/ldap/
输出成ascii字符的模式
sudo mdb_dump -p /var/lib/ldap

ldapsearch -v -x -h localhost -D 'cn=admin,dc=ip,dc=secureserver,dc=net' -w '' -b 'dc=ip,dc=secureserver,dc=net'

ldapsearch -v -x -h localhost -D 'cn=admin,dc=ip,dc=secureserver,dc=net' -w 'admin' -b 'dc=ip,dc=secureserver,dc=net'

ldapsearch -v -x -h 192.169.254.253 -D 'cn=admin,dc=ip,dc=secureserver,dc=net' -w 'admin' -b 'dc=ip,dc=secureserver,dc=net'

上面的ldapsearch命令后面跟了一大串的options，其中-v是使用verbose模式，输出更多信息；-x是使用普通的用户名密码模式来访问数据库；-h是指定要访问的服务器地址；-D是上面看到的数据库管理员账号；-w是密码，我们还没设定密码，所以留空；-b是上面看到的数据库的查询地址。

DN 必须是全局唯一的。
dc=ip,dc=secureserver,dc=net

/etc/slapd.d/cn=config/olcDatabase={2}mdb.ldif
olcRootDN: cn=admin,dc=ip,dc=secureserver,dc=net
olcSuffix: dc=ip,dc=secureserver,dc=net

ldapsearch -x -H ldap://192.169.254.253 -b "dc=ip,dc=secureserver,dc=net" "(cn=*)" cn telephoneNumber

• -LLL：简化输出格式，省略不必要的信息。

• -z <size>：限制返回的条目数量。

• -s base 或 sub：指定搜索范围，sub 表示递归搜索子条目。

• DC：domain component，一般为公司名，例如：dc=163,dc=com

• OU：organization unit，为组织单元，最多可以有四级，每级最长 32 个字符，可以为中文

• CN：common name，为用户名或者服务器名，最长可以到 80 个字符，可以为中文

• DN：distinguished name，为一条 LDAP 记录项的名字，全局唯一性，例如：dc:”cn=admin,ou=developer,dc=163,dc=com”

实例

new_users.ldif

# 新增用户 Lisa Smith
dn: cn=Gave Smith,dc=ip,dc=secureserver,dc=net
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
cn: Gave Smith
sn: Smith
givenName: Gave
mail: gave.smith@example.com
userPassword: 123456  # 建议使用哈希密码
description: New User Gave

# 条目分隔空行

# 新增用户 Mark Brown
dn: cn=Mark Brown,dc=ip,dc=secureserver,dc=net
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
cn: Mark Brown
sn: Brown
givenName: Mark
mail: mark.brown@example.com
userPassword: 123456  # 建议使用哈希密码
description: New User Mark

# 条目分隔空行

# 新增用户 Nancy Chen
dn: cn=Nancy Chen,dc=ip,dc=secureserver,dc=net
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
cn: Nancy Chen
sn: Chen
givenName: Nancy
mail: nancy.chen@example.com
userPassword: 123456  # 建议使用哈希密码
description: New User Nancy

参考

OpenLDAP(LDAP开源实现)官方文档库：https://www.openldap.org/doc/
LDAP管理员指南：https://www.openldap.org/doc/admin24/index.html
非OpenLDAP官方Docker镜像：https://github.com/osixia/docker-openldap
最浅显的LDAP介绍
如何配置OpenLDAP的slapd
OpenLDAP的安装与基本使用方法
LDAP说明
统一身份认证系统 OpenLDAP 完整部署
生产环境 OpenLDAP 部署流程
Linux 安装并配置 OpenLDAP 新编（1）快速入门指南
LDAP 协议入门（轻量目录访问协议）