LDAP. Universität zu Köln IT-Zertifikat Allgemeine Technologien 1 Dozentin: Susanne Kurz M.A Referent: Branko Dragoljic

Transkript

1 LDAP Universität zu Köln IT-Zertifikat Allgemeine Technologien 1 Dozentin: Susanne Kurz M.A Referent: Branko Dragoljic

2 Allgemeines Lightweight Directory Access Protocol Kommunikation zwischen LDAP-Client (zb -client) und Verzeichnis-Server Hierarchisch aufgebaut (Baumstruktur) Verzeichnis: optimiert für Zugriff Verwendung zb in Adressdatenbanken, Passwortdatenbanken etc. Anpassbar durch verschiedene Schemata Auch geeignet für DNS-Server

3 Entstehung Erste Anwendung an University of Michigan 1993 Alternativer Zugriff auf X.500 statt DAP mit TCP/IP statt OSI weniger Hardwareresourcen nötig Nacher vollst. Umstieg auf LDAP Heute weite Verbreitung Verschiedene Standardschemata zum Aufbau von Verzeichnissen verfügbar

4 Darstellung Darstellung über LDAP Data Interchange Format (LDIF) als Text DN: Distinguished Name, identifiziert Eintrag wie Dateipfad; Gliederung von unterster Hierarchiestufe aus uid=juser,ou=people,ou=webdesign,c=de,o=acme nur uid= juser relative distinguished name (RDN) Im Gegensatz zu Unix: Jeder Eintrag kann gleichzeitig Datei und Ordner sein

5 Aufbau LDAP Data Interchange Format (LDIF): Textdarstellung von LDAP Einträgen o = organization c = country uo = organizational Units uid = user ID dn = distinguished name cn = common name verschiedene Attribute

6 Aufbau Attribute zb Adresse, Telefonnummer, Passwort etc. Platz sparen durch Verweise. Eine Gruppe Personen mit allen Leuten, uo verweisen auf Personen mit best. Attribut Auch Verweise zwischen Servern 1.) Client fordert Daten von Server 1 2.) Server 1 Verweist an Server 2 3.) Client fordert Daten von Server 2 4.) Server 2 sendet Daten

7 Aufbau Verzeichnisse können über mehrere Server verteilt sein Gedopelte Einträge für höhere Geschwindigkeit/Sicherheit Bei Mehrserversystemen oft Masterserver (kann auch schreiben) und Slave (nur lesen)

8 Anwendungen OpenLDAP beinhalted slapd stand-alone LDAP Daemon (serversoftware) LDAP software libraries (zb Protokolle, Verschlüsselung) LDAP clients: ldapadd fügt Einträge hinuz ldapmodify löscht Einträge ldapdelete löscht einträge ldapsearch sucht Einträge

9 LDAP Suche ldapsearch modifizierbar ldapsearch -h bestimmter host, -p best. port zb ldapsearch -h ldap.acme.com, -p 389 Wenn keine Angaben dann localhost - D: Binddn, Anmeldung mit DN zb -D cn=directorymanager,o=acme Anmeldung als Directory Manager nach w Passwort falls vorhanden

10 Standardbefehle für LDAPsearch -b searchbase. Ebene ab der gesucht wird -b "ou=personen,o=acme" sucht unterhalb personen -s base -s base sucht nur im Eintrag -b -s one sucht nur in Einträgen direkt unter -b -s sub sucht in -b und allen untergeordneten Einträgen -l setzt Zeitlimit in Sekunden für Suchanfrage -z Maximale Anzahl der angezeigten Suchergebnisse

11 Suchfilter = gleich cn=juppschmitt cn=jupp* für alle Jupps cn=*schmitt für alle Schmitts >= größer/gleich zb alter >= 20 <= kleiner/gleich zb alter => 30 =* Attribut vorhanden. Telefonnummer=* findet alle Einträge die Attribut Telefonnummer beinhalten

12 Kombination von Filtern & Sucht Einträge die alle Bedingungen erfüllen (&(cn=jupp*)(alter>=20)(alter=>30)) sucht jeden Jupp im Alter von Jahren Einträge die mindestens eine Bedingungen erfüllen ( ( =*)(telefonnr=*) sucht alle Einträge die oder Telefonnummer enthalten! Sucht Einträge für die Bedingung nicht erfüllt ist (!(cn=*schmitt)) sucht alle Einträge ohne Nachnamen Schmitt

13 Beispiel ldapsearch -h ldap.acme.com -p 389 -D cn=derchef,o=acme -w coyote -s sub -b ou=people,o=acme (&(cn=jupp*)( alter>=20) (alter<=30)(i(ou=marketing)(ou=webdesign))( ( =*) (telefonnr=*) )(!(cn=*schmitt))) Wir kontaktieren den Server ldap.acme.com über port 389, melden uns als Der Chef mit dem Passwort coyote an und Suchen in allen Einträgen ab der Ebene People jeden Jupp zwischen 20 und 30 Jahren der in Marketing oder Webdesign arbeitet, eine - Adresse oder Telefonnummer hinterlegt hat und nicht mit Nachnamen Schmitt heißt.

14 Vorteile Daten zentral gespeichert: schneller Zugriff Rechteverteilung ebenfalls zentral und flexibler Geringe Hardwareanforderungen Verzeichnis kann flexibel erweitert werden Vereinfachte Nutzung durch Standardschemata