Adresářové služby a protokol LDAP Autor : Petr Štaif e-mail : razzor_at_tiscali.cz

1. PDS Adresářové služby a protokol LDAP Autor : Petr Štaif e-mail : razzor_at_tiscali.cz

2. Obsah • Adresářové služby • LDAP protokol obecně • Modely LDAP a jejich funkce • LDIF • Software pro LDAP • Závěr

3. Adresářové služby • statické a dynamické adresáře • další rozdělení adresářů • aplikační • adresáře operačních systémů • účelové • standardizované • použití adresářových služeb • efektivní uložení velkého množství informací • autentizace a správa uživatelů • ověřování přístupových práv • propojení s poštovním serverem • a k čemu to tedy vlastně je?

4. LDAP protokol obecně • Lightweight Directory Access Protocol • RFC 2251 • komunikace na portu 389 nebo 636 (SSL) • přenos informací pomocí zpráv • pro přenos se používá protokol TCP • LDAP vs. X.500 • jednodušší varianta, ale v praxi použitelnější • dostupné operace v LDAP • dotazovací, aktualizační, autentizační a řídící • komunikace klient-server • kódování přenosu

5. Modely LDAP – informační • Definuje datové typy a jednotky informací, které lze v adresáři ukládat • Identifikátory objektů • 1.3.6.1.4.1.11433.x.y.z • http://www.iana.org/assignments/enterprise-numbers • Záznamy • základní jednotka informace o objektech • záznamy mají unikátní jména – DN (distinguished name) • Atributy • popis vlastností objektu • uživatelské, operační • Syntaxe • datový typ atributu

6. Modely LDAP – jmenný • Definuje organizaci a odkazování se na uložená data • Stromová struktura • podobná např. struktuře UNIXu • Význam jmenného modelu • reference dat – aliasy, atributy • organizace dat – uložení podle specifíckého znaku • rozdělení dat – více serverů • replikace dat – zálohování na jiné servery • přístupová práva – konrétní člověk, konkrétní práva

7. Modely LDAP – jmenný • Struktura jmenných prostorů • přípustné a nepřípustné tvary jmenných prostorů • LDAP vs. X.500 • kontext • Aliasy • odkazy na uložený záznam • jako symbolické linky v UNIXu • řeší vazby „m:n“, ale porušují strukturu stromu • lze použít i pro záznamy na jiných serverech

8. Modely LDAP – funkční • Definuje operace, které je možno provádět nad protokolem • Dotazovací operace • search – prohledávání adresářového stromu, 8 vstupních parametrů • výchozí bod hledání – určení pomocí DN • oblast prohledávání – base, one level , sub • dereference zástupců – práce s aliasy • imit navrácených záznamů • časový limit hledání • pouze atributy – bez hodnot • vyhledávací filtry – RFC 2254 • seznam atributů pro navrácení

9. Modely LDAP – funkční • compare – porovnání testované hodnoty atributu s uloženou hodnotou • Aktualizační operace • add – přidání záznamu do adresářového stromu • delete – smaže záznam • rename – přejmenování RDN nebo přesun záznamu mezi větvemi stromu • modify – změna hodnot atributů v záznamech • Autentizační a řídící operace • bind – navázání spojení a autentizace uživatele • unbind – ukončení spojení • abandon – náhlé ukončení komunikace (při aktivitě)

10. Modely LDAP – bezpečnostní • Zajišťuje zabezpečení přístupu k záznamům uložených v adresářovém serveru • Autentizace • anonymní – při bind se nezasílají žádné identifikační údaje o klientovi • jednoduchá – identifikace uživatele (pomocí DN a hesla) se posílá po nechráněném spojení ldapsearch –b “o=zcu, c=cz” \ > -D “uid=novak, ou=users, o=zcu, c=cz” –w password • jenoduchá přes SSL/TSL – před spojením proběhne výměna certifikátů a naváže se spojení přes SSL; poté následuje identifikace uživatele • proxi – autentizace jednoho uživatele pomocí jiného • PKI – autentizace na principu digitálních certifikátů

11. LDIF • LDAP Data Interchange Format je standardní textový formát pro popisování LDAP záznamů • LDIF RFC 2849 • kódování – RFC 2253 • ASCII • UTF-8 – při použití diakritiky • base64 - obrázky, certifikáty • DSML - podobné XML, přenos pomocí HTTP

12. Software pro LDAP • Adresářové servery • OpenLDAP • Linux, FreeBSD, Solaris • HW nenáročný, ale pomalejší • podpora SSL, Kerberos, TSL s knihovnami OpenSSL • TinyLDAP • velmi odlehčená verze OpenLDAP (bez replikací) • malý a rychlý, ale ukládá pouze do textových souborů • Sun Java Enterprise Directory Server • původně Netscape Directory Server, nyní součást JES • plně podporuje LDAPv3 • používá např. www.mojebanka.cz pro autentizaci uživatelů • MS Active Directory • není typický LDAP server • podporuje PKI • provázanost s Win2003 server

13. Software pro LDAP • Prohlížeče a editory • Softerra • freevarový LDAP prohlížec pro Windows • podpora OpenLDAP, Netscape, Novell eDirectory, Oracle Internet Directory, MS Access Directory • LDIF import/export • GQ • určen pro Linux • široké možnosti editace • podpora vkládání obrázků a digitálních certifikátů • poslední verze 2002 • Luma • podpora schémat • Debian, Gentoo, Mandriva, FreeBSD • přehledný a funkčně vybavený

14. Závěr Pokud se chcete na něco zeptat, tak teď je ten správný čas  Děkuji za pozornost