Просмотр кода страницы LDAP

{{Стандарт}}
'''LDAP''' ({{lang-en|Lightweight Directory Access Protocol}} — «легковесный [[Протокол передачи данных|протокол]] доступа к [[Служба каталогов|каталогам]]») — [[Протокол передачи данных|протокол прикладного уровня]] для доступа к [[Служба каталогов|службе каталогов]] [[X.500]], разработанный [[Специальная комиссия интернет-разработок|IETF]] как облегчённый вариант разработанного [[Международный союз электросвязи#Структура МСЭ|ITU-T]] [[Протокол передачи данных|протокола]] [[Directory Access Protocol|DAP]]. LDAP — относительно простой [[Протокол передачи данных|протокол]], использующий [[TCP/IP]] и позволяющий производить операции [[аутентификация|аутентификации]] (''bind''), поиска (''search'') и сравнения (''compare''), а также операции добавления, изменения или удаления [[Структура (программирование)|записей]]. Обычно LDAP-[[Сервер (программное обеспечение)|сервер]] принимает входящие соединения на [[Порт (TCP/IP)|порт]] 389 по [[Протокол передачи данных|протоколам]] [[TCP]] или [[UDP]]. Для LDAP-сеансов, [[Инкапсуляция (компьютерные сети)|инкапсулированных]] в [[SSL]], обычно используется [[Порт (TCP/IP)|порт]] 636.

== Описание ==
Всякая запись в [[Каталог (файловая система)|каталоге]] LDAP состоит из одного или нескольких ''атрибутов'' и обладает ''уникальным именем'' (DN — {{lang-en|Distinguished Name}}). Уникальное имя может выглядеть, например, следующим образом: <tt>«cn=Иван Петров,ou=Сотрудники,dc=example,dc=com»<ref>[http://www.computerperformance.co.uk/Logon/LDAP_attributes_active_directory.htm Описание параметров LDAP] {{Wayback|url=http://www.computerperformance.co.uk/Logon/LDAP_attributes_active_directory.htm |date=20110531211026 }}{{ref|en}}</ref></tt>.
Уникальное имя состоит из одного или нескольких ''относительных уникальных имён'' (RDN — {{lang-en|Relative Distinguished Name}}), разделённых запятой. Относительное уникальное имя имеет вид <tt>ИмяАтрибута=значение</tt>. На одном уровне каталога не может существовать двух записей с одинаковыми относительными уникальными именами. В силу такой структуры уникального имени записи в каталоге LDAP можно легко представить в виде дерева.

Запись может состоять только из тех атрибутов, которые определены в описании класса записи (''object class''), которые, в свою очередь, объединены в схемы (''schema''). В схеме определено, какие атрибуты являются для данного класса обязательными, а какие — необязательными. Также схема определяет тип и правила сравнения атрибутов. Каждый атрибут записи может хранить несколько значений.

== Стандарты ==
Протокол LDAP определён в следующих [[RFC]]:
* RFC 4510 — Lightweight Directory Access Protocol (LDAP): Technical Specification Roadmap (заменяет RFC 3377)
* RFC 4511 — Lightweight Directory Access Protocol (LDAP): The Protocol
* RFC 4512 — Lightweight Directory Access Protocol (LDAP): Directory Information Models
* RFC 4513 — Lightweight Directory Access Protocol (LDAP): Authentication Methods and Security Mechanisms
* RFC 4514 — Lightweight Directory Access Protocol (LDAP): String Representation of Distinguished Names
* RFC 4515 — Lightweight Directory Access Protocol (LDAP): String Representation of Search Filters
* RFC 4516 — Lightweight Directory Access Protocol (LDAP): Uniform Resource Locator
* RFC 4517 — Lightweight Directory Access Protocol (LDAP): Syntaxes and Matching Rules
* RFC 4518 — Lightweight Directory Access Protocol (LDAP): Internationalized String Preparation
* RFC 4519 — Lightweight Directory Access Protocol (LDAP): Schema for User Applications
* RFC 4520 (aka BCP 64) — Internet Assigned Numbers Authority (IANA) Considerations for the Lightweight Directory Access Protocol (LDAP) (заменяет RFC 3383)
* RFC 4521 (aka BCP 118) — Considerations for Lightweight Directory Access Protocol (LDAP): Extension

Кроме протокола, есть верхнеуровневые международные стандарты, описывающие все, что связано с моделью интеграции систем и каталогом (Directory), доступ к которому реализуется с помощью LDAP и DAP:

* Recommendation ITU-T X.200 (1994) | ISO/IEC 7498-1:1994, Information technology — Open Systems Interconnection — Basic Reference Model: The basic model.
* Recommendation ITU-T X.500 (2019) | ISO/IEC 9594-1:2020, Information technology — Open Systems Interconnection — The Directory: Overview of concepts, models and services.
* Recommendation ITU-T X.501 (2019) | ISO/IEC 9594-2:2020, Information technology — Open Systems Interconnection — The Directory: Models.
* Recommendation ITU-T X.509 (2019) | ISO/IEC 9594-8:2020, Information technology — Open Systems Interconnection — The Directory: Public-key and attribute certificate frameworks.
* Recommendation ITU-T X.511 (2019) | ISO/IEC 9594-3:2020, Information technology — Open Systems Interconnection — The Directory: Abstract service definition.
* Recommendation ITU-T X.518 (2019) | ISO/IEC 9594-4:2020, Information technology — Open Systems Interconnection — The Directory: Procedures for distributed operation.
* Recommendation ITU-T X.519 (2019) | ISO/IEC 9594-5:2020, Information technology — Open Systems Interconnection — The Directory: Protocol specifications.
* Recommendation ITU-T X.520 (2019) | ISO/IEC 9594-6:2020, Information technology — Open Systems Interconnection — The Directory: Selected attribute types.
* Recommendation ITU-T X.521 (2019) | ISO/IEC 9594-7:2020, Information technology — Open Systems Interconnection — The Directory: Selected object classes.
* Recommendation ITU-T X.525 (2019) | ISO/IEC 9594-9:2020, Information technology — Open Systems Interconnection — The Directory: Replication.

== Функциональное описание протокола ==
В протоколе LDAP определены следующие операции для работы с Каталогом:
* Операции подключения/отключения
** Подключение (''bind'') — позволяет ассоциировать клиента с определённым объектом Каталога (фактическим или виртуальным) для осуществления контроля доступа для всех прочих операций чтения/записи. Для того, чтобы работать с Каталогом, клиент обязан пройти аутентификацию как объект, отличительное имя (Distinguished Name) которого находится в пространстве имён, описываемом Каталогом. В запросе операции ''bind'' клиент может не указывать отличительное имя, в таком случае будет осуществлено подключение под специальным псевдонимом ''anonymous'' (обычно это что-то наподобие гостевой учётной записи с минимальными правами)
** Отключение (''unbind'') — позволяет клиенту в рамках сеанса соединения с LDAP-сервером переключиться на аутентификацию с новым отличительным именем. Команда unbind возможна только после аутентификации на сервере с использованием bind, в противном случае вызов unbind возвращает ошибку
* Поиск (''search'') — чтение данных из Каталога. Операция сложная, на вход принимает множество параметров, среди которых основными являются:
** База поиска (''baseDN'') — ветка DIT, от которой начинается поиск данных
** Глубина поиска (''scope'') — может иметь значения (в порядке увеличения охватываемой области): base, one, sub
*** base — поиск непосредственно в узле — базе поиска
*** one — поиск по всем узлам, являющимся прямыми потомками базового в иерархии, то есть лежащим на один уровень ниже него
*** sub — поиск по всей области, нижележащей относительно базы поиска (baseDN)
** Фильтр поиска (''searchFilter'') — это выражение, определяющее критерии отбора объектов каталога, попадающих в область поиска, задаваемую параметром scope. Выражение фильтра поиска записывается в [[Польская нотация|польской (префиксной) нотации]], состоящей из логических (булевых) операторов и операндов, в свою очередь являющихся внутренними операторами сопоставления значений атрибутов LDAP (в левой части) с выражениями (в правой части) с использованием знака равенства.
Логические операторы представлены стандартным «набором»: '''&''' (логическое «И»), '''|''' (логическое «ИЛИ») и '''!''' (логическое «НЕ»).

Пример фильтра поиска{{где}}<!--Непонятно, куда вводить данный код и, вообще, как конкретно им пользоваться.-->:

<tt>(&(!(entryDN:dnSubtreeMatch:=dc=Piter,dc=Russia,ou=People,dc=example,dc=com))(objectClass=sambaSamAccount)<br />(|(sn=Lazar*)(uid=Nakhims*)))</tt>

* Операции модификации — позволяют изменять данные в Каталоге, при этом в понятие модификации входит как добавление, удаление и перемещение записей целиком, так и редактирование записей на уровне их атрибутов. Подтипы модификации:
** Добавление (''add'') — добавление новой записи
** Удаление (''delete'') — удаление записи
** Модификация RDN (''modrdn'') — перемещение/копирование записи
** Модификация записи (''modify'') — позволяет редактировать запись на уровне её атрибутов,
*** добавляя новый атрибут или новое значение многозначного атрибута (add)
*** удаляя атрибут со всеми его значениями (delete)
*** заменяя одно значение атрибута на другое (replace)
*** а также увеличивая (уменьшая) значение атрибута в рамках атомарной операции (increment)
* Операция сравнения (''compare'') — позволяет для определённого отличительного имени сравнить выбранный атрибут с заданным значением

=== Операция запроса возможностей ===
В стандарте LDAP определена специальная операция, позволяющая клиентам получать информацию о поддерживаемых сервером версиях протокола и возможностях LDAP-сервера. Эта команда является надстройкой (расширением) для операции ''search'' и выполняется при следующем сочетании параметров последней:
* BIND анонимный
* База поиска ''baseDN'' указана как '''""''' (пустая строка)
* Глубина поиска ''scope'' указана как '''base'''
* Фильтр поиска: '''(objectClass=*)'''
* Перечень запрашиваемых атрибутов: либо явное перечисление, либо '''«+»''' (''ВНИМАНИЕ''! '''«*»''' не покажет значения служебных атрибутов, содержащих всю полезную информацию)

Например, при использовании LDAP-клиента из поставки [[OpenLDAP]] команда запроса возможностей может выглядеть как:

<code>ldapsearch -x -H ldap://''host'':''port'' -LLL -b "" -s base '(objectClass=*)' supportedControls supportedCapabilities</code>

=== Операция запроса схемы ===
Для запроса информации о действующей схеме LDAP-каталога прежде необходимо выполнить [[LDAP#Операция запроса возможностей|Операцию запроса возможностей]], получив значение атрибута ''subschemaSubentry''.

<code>ldapsearch -x -H ldap://''host'':''port'' -LLL -s base -b "" '(objectClass=*)'  subschemaSubentry</code>

Полученное значение используется в качестве ''Отличительного имени'' базы поиска (''baseDN'') в Операции запроса схемы, которую можно описать так:
* BIND анонимный, либо полный. Большинство серверов каталогов поддерживают запрос схемы без предварительного BIND, но, есть исключения (например, [[Active Directory]]);
* База поиска ''baseDN'' равна значению атрибута ''subschemaSubentry'', возвращаемого [[LDAP#Операция запроса возможностей|Операцией запроса возможностей]];
* Глубина поиска ''scope'' указана как '''base''';
* Фильтр поиска: '''(objectClass=*)''';
* Перечень запрашиваемых атрибутов: явное перечисление атрибутов (attributeTypes, objectClasses) возможно для всех серверов каталогов, в случае [[OpenLDAP]] и некоторых других (OpenDS,ApacheDS и т. д.) возможно указание «+»;

Например, при использовании LDAP-клиента из поставки [[OpenLDAP]] Операция запроса схемы может выглядеть так:

<code>ldapsearch -x -H ldap://''host'':''port'' -LLL -s base -b "cn=Subschema" '(objectClass=*)' ldapSyntaxes matchingRules</code>

== Реализации ==

=== Серверная часть ===
LDAP является широко используемым стандартом доступа к службам каталогов. Из свободно распространяемых открытых реализаций наиболее известен сервер [[OpenLDAP]], из проприетарных — поддержка протокола имеется в [[Active Directory]] — службе каталогов от компании [[Майкрософт|Microsoft]], предназначенной для централизации управления [[компьютерная сеть|сетями]] [[Windows]]. Сервер [[IBM]] [[Lotus Domino]] в своём составе также имеет службу LDAP<ref>{{Cite web |url=http://www-12.lotus.com/ldd/doc/domino_notes/rnext/help6_admin.nsf/b3266a3c17f9bb7085256b870069c0a9/715915cede8d461685256c1d00393b5d?OpenDocument |title=The Domino LDAP schema |access-date=2010-10-31 |archive-url=https://web.archive.org/web/20130608102029/http://www-12.lotus.com/ldd/doc/domino_notes/rnext/help6_admin.nsf/b3266a3c17f9bb7085256b870069c0a9/715915cede8d461685256c1d00393b5d?OpenDocument |archive-date=2013-06-08 |url-status=dead }}</ref><ref>{{Cite web |url=http://www.metatude.com/pdf/48/DominoR5.pdf |title=Lotus Domino LDAP Configuration Guide |access-date=2010-10-31 |archive-url=https://web.archive.org/web/20160304100804/http://www.metatude.com/pdf/48/DominoR5.pdf |archive-date=2016-03-04 |url-status=dead }}</ref>. Свои реализации служб каталогов, поддерживающие LDAP как протокол доступа, предлагают и другие крупные компании, например, [[Novell]] и [[Sun Microsystems|Sun]] — {{iw|OpenDS}} и, впоследствии, OpenDJ.

Перечень наиболее известных на сегодняшний день LDAP-серверов:
# [[OpenLDAP]]
# [[ForgeRock]] [[OpenDJ]]
# [[Novell eDirectory]]
# [[Apple Open Directory]] (форк проекта OpenLDAP)
# [[Microsoft Active Directory]]
# [[Samba|Samba4]] LDAP (OpenSource-реализация MS AD)
# [[RedHat Directory Server]]
# [[389 Directory Server]] (по сути тестовая версия предыдущего)
# [[Oracle Directory Server]]
# [[Apache Directory Server]]
# [[IBM]] [[Tivoli Directory Server]]
# [[IBM]] [[Lotus Domino|Domino LDAP]]
# [[CommuniGate Pro|CommuniGate]] LDAP

=== Клиентская часть ===
В качестве клиентов LDAP выступают как адресные книги [[Почтовый клиент|почтовых клиентов]], так и back-end’ы различных сетевых служб (серверы DNS, SMTP, Samba, UTS и т. д.).

== См. также ==
* [[Служба каталогов]]
* [[LDIF]]

== Примечания ==
{{примечания}}

== Ссылки ==

=== Ресурсы ===
* [http://www.osp.ru/os/2004/12/184900/ LDAP: архитектура, реализации и тенденции]
* [http://www.redbooks.ibm.com/Redbooks.nsf/RedbookAbstracts/sg244986.html?OpenDocument Understanding LDAP — Design and Implementation — redbook от IBM]

=== Серверы ===
* [http://www.openldap.org Домашняя страница проекта OpenLDAP]
* [https://www.apple.com/ru/server/macosx/technology/open-directory.html Apple Open Directory — сервер каталогов и API-framework в Mac OS X Server]
* [https://web.archive.org/web/20120220144407/https://www.opends.org/ OpenDS — открытый проект, создан на базе кода Sun Enterprise Java System Directory Server]
* [[389 Directory Server]] — бывший Fedora Project Directory Server, проект с открытым исходным кодом, на основе которого создаётся коммерческий продукт — [http://www.redhat.com/directory_server/ RedHat Directory Server]
* [http://directory.apache.org/ The Apache Directory Project — сервер каталогов, создаваемый фондом Apache]
* [http://www.microsoft.com/windowsserver2003/technologies/directory/activedirectory/default.mspx Windows Server 2003 Active Directory] — официальный сайт [[Active Directory]]
* [[IBM Lotus Domino]] — [http://www.google.ru/search?q=lotus+domino+ldap Google поиск по LDAP в Lotus Domino]
* [https://web.archive.org/web/20080719142833/http://mds.mandriva.org/ Mandriva Directory Server]

=== Клиенты ===
* [https://directory.apache.org/studio/ Apache Directory Studio] — кроссплатформенная opensource ([[Лицензия Apache|APL2]]) программа для администрирования LDAP каталога на базе [[Eclipse (среда разработки)|Eclipse]] ([[Java]]);
* [http://ldapadmin.sourceforge.net/ LdapAdmin] — Открытая ([[GPL]]) программа под Windows, для управления LDAP данными;
* [http://jxplorer.org/ JXplorer] — [[Открытое программное обеспечение|OpenSource]] утилита для администрирования каталога LDAP на языке [[Java]];
* [http://phpldapadmin.sourceforge.net PHP LDAP admin] — развитый клиент LDAP с веб-интерфейсом;
* [https://docs.ldap.com/ldap-sdk/docs/tool-usages/ldapsearch.html ldapsearch] — открытая консольная утилита для ОС Linux ([https://www.opennet.ru/man.shtml?topic=ldapsearch&category=1&russian=0 Статья с описанием ldapsearch на сайте OpenNet.ru]).

=== Программные интерфейсы (API) ===
* [http://ldap.perl.org/ Perl-LDAP] — [[объектно-ориентированное программирование|объектно-ориентированный]] модуль [[Perl]] для работы с LDAP
* [http://www.python-ldap.org/ python-ldap] и [https://web.archive.org/web/20081204064457/http://www.inoi.fi/open/trac/ldaptor ldaptor] — модули для работы с LDAP для [[Python]]
* [http://www.openldap.org/jldap/ Java LDAP] — [[Java]]-библиотека для работы с LDAP
* [http://www.php.net/manual/ru/ref.ldap.php PHP LDAP] — [[PHP]] функции для работы по протоколу LDAP
* [https://github.com/spider-gazelle/crystal-ldap Crystal LDAP] — LDAP клиент для языка [[Crystal (язык программирования)|Crystal]]

{{Языки запросов}}
{{Стандарты Open Group}}
{{URI scheme}}

{{Нет сносок|дата=2015-07-29}}

[[Категория:Протоколы прикладного уровня]]
[[Категория:Интернет-протоколы]]