https://camokathomelab.servebeer.com/mediawiki/index.php?action=history&feed=atom&title=LDAPLDAP - История изменений2026-07-16T04:09:49ZИстория изменений этой страницы в викиMediaWiki 1.45.3https://camokathomelab.servebeer.com/mediawiki/index.php?title=LDAP&diff=8239&oldid=previmported>Rave в 13:51, 25 ноября 20252025-11-25T13:51:02Z<p></p>
<p><b>Новая страница</b></p><div>{{Стандарт}}<br />
'''LDAP''' ({{lang-en|Lightweight Directory Access Protocol}} — «легковесный [[Протокол передачи данных|протокол]] доступа к [[Служба каталогов|каталогам]]») — [[Протокол передачи данных|протокол прикладного уровня]] для доступа к [[Служба каталогов|службе каталогов]] [[X.500]], разработанный [[Специальная комиссия интернет-разработок|IETF]] как облегчённый вариант разработанного [[Международный союз электросвязи#Структура МСЭ|ITU-T]] [[Протокол передачи данных|протокола]] [[Directory Access Protocol|DAP]]. LDAP — относительно простой [[Протокол передачи данных|протокол]], использующий [[TCP/IP]] и позволяющий производить операции [[аутентификация|аутентификации]] (''bind''), поиска (''search'') и сравнения (''compare''), а также операции добавления, изменения или удаления [[Структура (программирование)|записей]]. Обычно LDAP-[[Сервер (программное обеспечение)|сервер]] принимает входящие соединения на [[Порт (TCP/IP)|порт]] 389 по [[Протокол передачи данных|протоколам]] [[TCP]] или [[UDP]]. Для LDAP-сеансов, [[Инкапсуляция (компьютерные сети)|инкапсулированных]] в [[SSL]], обычно используется [[Порт (TCP/IP)|порт]] 636.<br />
<br />
== Описание ==<br />
Всякая запись в [[Каталог (файловая система)|каталоге]] LDAP состоит из одного или нескольких ''атрибутов'' и обладает ''уникальным именем'' (DN — {{lang-en|Distinguished Name}}). Уникальное имя может выглядеть, например, следующим образом: <tt>«cn=Иван Петров,ou=Сотрудники,dc=example,dc=com»<ref>[http://www.computerperformance.co.uk/Logon/LDAP_attributes_active_directory.htm Описание параметров LDAP] {{Wayback|url=http://www.computerperformance.co.uk/Logon/LDAP_attributes_active_directory.htm |date=20110531211026 }}{{ref|en}}</ref></tt>.<br />
Уникальное имя состоит из одного или нескольких ''относительных уникальных имён'' (RDN — {{lang-en|Relative Distinguished Name}}), разделённых запятой. Относительное уникальное имя имеет вид <tt>ИмяАтрибута=значение</tt>. На одном уровне каталога не может существовать двух записей с одинаковыми относительными уникальными именами. В силу такой структуры уникального имени записи в каталоге LDAP можно легко представить в виде дерева.<br />
<br />
Запись может состоять только из тех атрибутов, которые определены в описании класса записи (''object class''), которые, в свою очередь, объединены в схемы (''schema''). В схеме определено, какие атрибуты являются для данного класса обязательными, а какие — необязательными. Также схема определяет тип и правила сравнения атрибутов. Каждый атрибут записи может хранить несколько значений.<br />
<br />
== Стандарты ==<br />
Протокол LDAP определён в следующих [[RFC]]:<br />
* RFC 4510 — Lightweight Directory Access Protocol (LDAP): Technical Specification Roadmap (заменяет RFC 3377)<br />
* RFC 4511 — Lightweight Directory Access Protocol (LDAP): The Protocol<br />
* RFC 4512 — Lightweight Directory Access Protocol (LDAP): Directory Information Models<br />
* RFC 4513 — Lightweight Directory Access Protocol (LDAP): Authentication Methods and Security Mechanisms<br />
* RFC 4514 — Lightweight Directory Access Protocol (LDAP): String Representation of Distinguished Names<br />
* RFC 4515 — Lightweight Directory Access Protocol (LDAP): String Representation of Search Filters<br />
* RFC 4516 — Lightweight Directory Access Protocol (LDAP): Uniform Resource Locator<br />
* RFC 4517 — Lightweight Directory Access Protocol (LDAP): Syntaxes and Matching Rules<br />
* RFC 4518 — Lightweight Directory Access Protocol (LDAP): Internationalized String Preparation<br />
* RFC 4519 — Lightweight Directory Access Protocol (LDAP): Schema for User Applications<br />
* RFC 4520 (aka BCP 64) — Internet Assigned Numbers Authority (IANA) Considerations for the Lightweight Directory Access Protocol (LDAP) (заменяет RFC 3383)<br />
* RFC 4521 (aka BCP 118) — Considerations for Lightweight Directory Access Protocol (LDAP): Extension<br />
<br />
Кроме протокола, есть верхнеуровневые международные стандарты, описывающие все, что связано с моделью интеграции систем и каталогом (Directory), доступ к которому реализуется с помощью LDAP и DAP:<br />
<br />
* Recommendation ITU-T X.200 (1994) | ISO/IEC 7498-1:1994, Information technology — Open Systems Interconnection — Basic Reference Model: The basic model.<br />
* Recommendation ITU-T X.500 (2019) | ISO/IEC 9594-1:2020, Information technology — Open Systems Interconnection — The Directory: Overview of concepts, models and services.<br />
* Recommendation ITU-T X.501 (2019) | ISO/IEC 9594-2:2020, Information technology — Open Systems Interconnection — The Directory: Models.<br />
* Recommendation ITU-T X.509 (2019) | ISO/IEC 9594-8:2020, Information technology — Open Systems Interconnection — The Directory: Public-key and attribute certificate frameworks.<br />
* Recommendation ITU-T X.511 (2019) | ISO/IEC 9594-3:2020, Information technology — Open Systems Interconnection — The Directory: Abstract service definition.<br />
* Recommendation ITU-T X.518 (2019) | ISO/IEC 9594-4:2020, Information technology — Open Systems Interconnection — The Directory: Procedures for distributed operation.<br />
* Recommendation ITU-T X.519 (2019) | ISO/IEC 9594-5:2020, Information technology — Open Systems Interconnection — The Directory: Protocol specifications.<br />
* Recommendation ITU-T X.520 (2019) | ISO/IEC 9594-6:2020, Information technology — Open Systems Interconnection — The Directory: Selected attribute types.<br />
* Recommendation ITU-T X.521 (2019) | ISO/IEC 9594-7:2020, Information technology — Open Systems Interconnection — The Directory: Selected object classes.<br />
* Recommendation ITU-T X.525 (2019) | ISO/IEC 9594-9:2020, Information technology — Open Systems Interconnection — The Directory: Replication.<br />
<br />
== Функциональное описание протокола ==<br />
В протоколе LDAP определены следующие операции для работы с Каталогом:<br />
* Операции подключения/отключения<br />
** Подключение (''bind'') — позволяет ассоциировать клиента с определённым объектом Каталога (фактическим или виртуальным) для осуществления контроля доступа для всех прочих операций чтения/записи. Для того, чтобы работать с Каталогом, клиент обязан пройти аутентификацию как объект, отличительное имя (Distinguished Name) которого находится в пространстве имён, описываемом Каталогом. В запросе операции ''bind'' клиент может не указывать отличительное имя, в таком случае будет осуществлено подключение под специальным псевдонимом ''anonymous'' (обычно это что-то наподобие гостевой учётной записи с минимальными правами)<br />
** Отключение (''unbind'') — позволяет клиенту в рамках сеанса соединения с LDAP-сервером переключиться на аутентификацию с новым отличительным именем. Команда unbind возможна только после аутентификации на сервере с использованием bind, в противном случае вызов unbind возвращает ошибку<br />
* Поиск (''search'') — чтение данных из Каталога. Операция сложная, на вход принимает множество параметров, среди которых основными являются:<br />
** База поиска (''baseDN'') — ветка DIT, от которой начинается поиск данных<br />
** Глубина поиска (''scope'') — может иметь значения (в порядке увеличения охватываемой области): base, one, sub<br />
*** base — поиск непосредственно в узле — базе поиска<br />
*** one — поиск по всем узлам, являющимся прямыми потомками базового в иерархии, то есть лежащим на один уровень ниже него<br />
*** sub — поиск по всей области, нижележащей относительно базы поиска (baseDN)<br />
** Фильтр поиска (''searchFilter'') — это выражение, определяющее критерии отбора объектов каталога, попадающих в область поиска, задаваемую параметром scope. Выражение фильтра поиска записывается в [[Польская нотация|польской (префиксной) нотации]], состоящей из логических (булевых) операторов и операндов, в свою очередь являющихся внутренними операторами сопоставления значений атрибутов LDAP (в левой части) с выражениями (в правой части) с использованием знака равенства.<br />
Логические операторы представлены стандартным «набором»: '''&''' (логическое «И»), '''|''' (логическое «ИЛИ») и '''!''' (логическое «НЕ»).<br />
<br />
Пример фильтра поиска{{где}}<!--Непонятно, куда вводить данный код и, вообще, как конкретно им пользоваться.-->:<br />
<br />
<tt>(&(!(entryDN:dnSubtreeMatch:=dc=Piter,dc=Russia,ou=People,dc=example,dc=com))(objectClass=sambaSamAccount)<br />(|(sn=Lazar*)(uid=Nakhims*)))</tt><br />
<br />
* Операции модификации — позволяют изменять данные в Каталоге, при этом в понятие модификации входит как добавление, удаление и перемещение записей целиком, так и редактирование записей на уровне их атрибутов. Подтипы модификации:<br />
** Добавление (''add'') — добавление новой записи<br />
** Удаление (''delete'') — удаление записи<br />
** Модификация RDN (''modrdn'') — перемещение/копирование записи<br />
** Модификация записи (''modify'') — позволяет редактировать запись на уровне её атрибутов,<br />
*** добавляя новый атрибут или новое значение многозначного атрибута (add)<br />
*** удаляя атрибут со всеми его значениями (delete)<br />
*** заменяя одно значение атрибута на другое (replace)<br />
*** а также увеличивая (уменьшая) значение атрибута в рамках атомарной операции (increment)<br />
* Операция сравнения (''compare'') — позволяет для определённого отличительного имени сравнить выбранный атрибут с заданным значением<br />
<br />
=== Операция запроса возможностей ===<br />
В стандарте LDAP определена специальная операция, позволяющая клиентам получать информацию о поддерживаемых сервером версиях протокола и возможностях LDAP-сервера. Эта команда является надстройкой (расширением) для операции ''search'' и выполняется при следующем сочетании параметров последней:<br />
* BIND анонимный<br />
* База поиска ''baseDN'' указана как '''""''' (пустая строка)<br />
* Глубина поиска ''scope'' указана как '''base'''<br />
* Фильтр поиска: '''(objectClass=*)'''<br />
* Перечень запрашиваемых атрибутов: либо явное перечисление, либо '''«+»''' (''ВНИМАНИЕ''! '''«*»''' не покажет значения служебных атрибутов, содержащих всю полезную информацию)<br />
<br />
Например, при использовании LDAP-клиента из поставки [[OpenLDAP]] команда запроса возможностей может выглядеть как:<br />
<br />
<code>ldapsearch -x -H ldap://''host'':''port'' -LLL -b "" -s base '(objectClass=*)' supportedControls supportedCapabilities</code><br />
<br />
=== Операция запроса схемы ===<br />
Для запроса информации о действующей схеме LDAP-каталога прежде необходимо выполнить [[LDAP#Операция запроса возможностей|Операцию запроса возможностей]], получив значение атрибута ''subschemaSubentry''.<br />
<br />
<code>ldapsearch -x -H ldap://''host'':''port'' -LLL -s base -b "" '(objectClass=*)' subschemaSubentry</code><br />
<br />
Полученное значение используется в качестве ''Отличительного имени'' базы поиска (''baseDN'') в Операции запроса схемы, которую можно описать так:<br />
* BIND анонимный, либо полный. Большинство серверов каталогов поддерживают запрос схемы без предварительного BIND, но, есть исключения (например, [[Active Directory]]);<br />
* База поиска ''baseDN'' равна значению атрибута ''subschemaSubentry'', возвращаемого [[LDAP#Операция запроса возможностей|Операцией запроса возможностей]];<br />
* Глубина поиска ''scope'' указана как '''base''';<br />
* Фильтр поиска: '''(objectClass=*)''';<br />
* Перечень запрашиваемых атрибутов: явное перечисление атрибутов (attributeTypes, objectClasses) возможно для всех серверов каталогов, в случае [[OpenLDAP]] и некоторых других (OpenDS,ApacheDS и т. д.) возможно указание «+»;<br />
<br />
Например, при использовании LDAP-клиента из поставки [[OpenLDAP]] Операция запроса схемы может выглядеть так:<br />
<br />
<code>ldapsearch -x -H ldap://''host'':''port'' -LLL -s base -b "cn=Subschema" '(objectClass=*)' ldapSyntaxes matchingRules</code><br />
<br />
== Реализации ==<br />
<br />
=== Серверная часть ===<br />
LDAP является широко используемым стандартом доступа к службам каталогов. Из свободно распространяемых открытых реализаций наиболее известен сервер [[OpenLDAP]], из проприетарных — поддержка протокола имеется в [[Active Directory]] — службе каталогов от компании [[Майкрософт|Microsoft]], предназначенной для централизации управления [[компьютерная сеть|сетями]] [[Windows]]. Сервер [[IBM]] [[Lotus Domino]] в своём составе также имеет службу LDAP<ref>{{Cite web |url=http://www-12.lotus.com/ldd/doc/domino_notes/rnext/help6_admin.nsf/b3266a3c17f9bb7085256b870069c0a9/715915cede8d461685256c1d00393b5d?OpenDocument |title=The Domino LDAP schema |access-date=2010-10-31 |archive-url=https://web.archive.org/web/20130608102029/http://www-12.lotus.com/ldd/doc/domino_notes/rnext/help6_admin.nsf/b3266a3c17f9bb7085256b870069c0a9/715915cede8d461685256c1d00393b5d?OpenDocument |archive-date=2013-06-08 |url-status=dead }}</ref><ref>{{Cite web |url=http://www.metatude.com/pdf/48/DominoR5.pdf |title=Lotus Domino LDAP Configuration Guide |access-date=2010-10-31 |archive-url=https://web.archive.org/web/20160304100804/http://www.metatude.com/pdf/48/DominoR5.pdf |archive-date=2016-03-04 |url-status=dead }}</ref>. Свои реализации служб каталогов, поддерживающие LDAP как протокол доступа, предлагают и другие крупные компании, например, [[Novell]] и [[Sun Microsystems|Sun]] — {{iw|OpenDS}} и, впоследствии, OpenDJ.<br />
<br />
Перечень наиболее известных на сегодняшний день LDAP-серверов:<br />
# [[OpenLDAP]]<br />
# [[ForgeRock]] [[OpenDJ]]<br />
# [[Novell eDirectory]]<br />
# [[Apple Open Directory]] (форк проекта OpenLDAP)<br />
# [[Microsoft Active Directory]]<br />
# [[Samba|Samba4]] LDAP (OpenSource-реализация MS AD)<br />
# [[RedHat Directory Server]]<br />
# [[389 Directory Server]] (по сути тестовая версия предыдущего)<br />
# [[Oracle Directory Server]]<br />
# [[Apache Directory Server]]<br />
# [[IBM]] [[Tivoli Directory Server]]<br />
# [[IBM]] [[Lotus Domino|Domino LDAP]]<br />
# [[CommuniGate Pro|CommuniGate]] LDAP<br />
<br />
=== Клиентская часть ===<br />
В качестве клиентов LDAP выступают как адресные книги [[Почтовый клиент|почтовых клиентов]], так и back-end’ы различных сетевых служб (серверы DNS, SMTP, Samba, UTS и т. д.).<br />
<br />
== См. также ==<br />
* [[Служба каталогов]]<br />
* [[LDIF]]<br />
<br />
== Примечания ==<br />
{{примечания}}<br />
<br />
== Ссылки ==<br />
<br />
=== Ресурсы ===<br />
* [http://www.osp.ru/os/2004/12/184900/ LDAP: архитектура, реализации и тенденции]<br />
* [http://www.redbooks.ibm.com/Redbooks.nsf/RedbookAbstracts/sg244986.html?OpenDocument Understanding LDAP — Design and Implementation — redbook от IBM]<br />
<br />
=== Серверы ===<br />
* [http://www.openldap.org Домашняя страница проекта OpenLDAP]<br />
* [https://www.apple.com/ru/server/macosx/technology/open-directory.html Apple Open Directory — сервер каталогов и API-framework в Mac OS X Server]<br />
* [https://web.archive.org/web/20120220144407/https://www.opends.org/ OpenDS — открытый проект, создан на базе кода Sun Enterprise Java System Directory Server]<br />
* [[389 Directory Server]] — бывший Fedora Project Directory Server, проект с открытым исходным кодом, на основе которого создаётся коммерческий продукт — [http://www.redhat.com/directory_server/ RedHat Directory Server]<br />
* [http://directory.apache.org/ The Apache Directory Project — сервер каталогов, создаваемый фондом Apache]<br />
* [http://www.microsoft.com/windowsserver2003/technologies/directory/activedirectory/default.mspx Windows Server 2003 Active Directory] — официальный сайт [[Active Directory]]<br />
* [[IBM Lotus Domino]] — [http://www.google.ru/search?q=lotus+domino+ldap Google поиск по LDAP в Lotus Domino]<br />
* [https://web.archive.org/web/20080719142833/http://mds.mandriva.org/ Mandriva Directory Server]<br />
<br />
=== Клиенты ===<br />
* [https://directory.apache.org/studio/ Apache Directory Studio] — кроссплатформенная opensource ([[Лицензия Apache|APL2]]) программа для администрирования LDAP каталога на базе [[Eclipse (среда разработки)|Eclipse]] ([[Java]]);<br />
* [http://ldapadmin.sourceforge.net/ LdapAdmin] — Открытая ([[GPL]]) программа под Windows, для управления LDAP данными;<br />
* [http://jxplorer.org/ JXplorer] — [[Открытое программное обеспечение|OpenSource]] утилита для администрирования каталога LDAP на языке [[Java]];<br />
* [http://phpldapadmin.sourceforge.net PHP LDAP admin] — развитый клиент LDAP с веб-интерфейсом;<br />
* [https://docs.ldap.com/ldap-sdk/docs/tool-usages/ldapsearch.html ldapsearch] — открытая консольная утилита для ОС Linux ([https://www.opennet.ru/man.shtml?topic=ldapsearch&category=1&russian=0 Статья с описанием ldapsearch на сайте OpenNet.ru]).<br />
<br />
=== Программные интерфейсы (API) ===<br />
* [http://ldap.perl.org/ Perl-LDAP] — [[объектно-ориентированное программирование|объектно-ориентированный]] модуль [[Perl]] для работы с LDAP<br />
* [http://www.python-ldap.org/ python-ldap] и [https://web.archive.org/web/20081204064457/http://www.inoi.fi/open/trac/ldaptor ldaptor] — модули для работы с LDAP для [[Python]]<br />
* [http://www.openldap.org/jldap/ Java LDAP] — [[Java]]-библиотека для работы с LDAP<br />
* [http://www.php.net/manual/ru/ref.ldap.php PHP LDAP] — [[PHP]] функции для работы по протоколу LDAP<br />
* [https://github.com/spider-gazelle/crystal-ldap Crystal LDAP] — LDAP клиент для языка [[Crystal (язык программирования)|Crystal]]<br />
<br />
{{Языки запросов}}<br />
{{Стандарты Open Group}}<br />
{{URI scheme}}<br />
<br />
{{Нет сносок|дата=2015-07-29}}<br />
<br />
[[Категория:Протоколы прикладного уровня]]<br />
[[Категория:Интернет-протоколы]]</div>imported>Rave