LDAP Vortragsreihe - Teil 1 Konzepte und Möglichkeiten

Transkript

1 LDAP Vortragsreihe - Teil 1 Konzepte und Möglichkeiten Jörg Rödel <joerg@zlug.org> 22. März 2004 Jörg Rödel

2 Was ist LDAP? Lightweight Directory Access Protocoll eigentlich nur ein Protokollstandard allgemein aber ein Oberbegriff für Implementierungen und Technologien rund um dieses Protokoll ein Verzeichnissdienst zur Zentralisierung redundant vorhandener Daten ein Ersatz für X.500 Jörg Rödel 1

3 X.500 und die Entstehung von LDAP X.500 wurde als weltweiter Verzeichnissdienst standardisiert basiert auf dem OSI-Referenzmodell, welches sich nie durchgesetzt hat X.500 definiert ein Zugriffsprotokoll namens DAP Um X.500 auch vom Internet aus zu nutzen, wurde ein TCP/IP-OSI Gateway entwickelt und mit einem einfacheren Protokoll versehen, LDAP Dem Gateway wurde später eine eigene Backend-Implementierung gegeben, so wurde daraus ein Stand-Alone-LDAP Server Mittlerweile ist LDAP von der IETF in verschiedenen Versionen standardisiert. Jörg Rödel 2

4 Warum LDAP? Mit LDAP kann man die oft vielen, nebenher und redundant existierenden, Datenbanken für viele Bereiche an einer Stelle zusammenführen. LDAP ist auf lesende und suchende Zugriffe optimiert Da LDAP im Gegensatz zum relationalen Modell auch ein einheitliches Zugriffsprotokoll definiert, funktionieren die Anwendungen theoretisch mit allen LDAP-Implementierungen. dadurch ist hohe Interoperabilität gewährleistet eignet sich wesentlich besser als das Relationale Modell zur Repräsentation hierarchischer Datenbestände Jörg Rödel 3

5 LDAP Grundlagen - Objekte Die LDAP Datenbasis (DIB - Directory Information Base) besteht aus einer Menge von Objekten (auch Entries genannt) die eindeutig durch ihre DN adressiert werden können. jedes Objekt gehört zu mindestens einer Objektklasse Objektklassen werden in den Schemas definiert jedes Objekt kann eine Reihe von Attributen enthalten Attribute können required oder optional sein und haben eine festgelegte Syntax, das wird durch die Objektklassen bestimmt Jörg Rödel 4

6 LDAP Grundlagen - Schemas in den Schemas wird der Aufbau von Objektklassen spezifiziert es gibt 3 Oberklassen von Objekten: structural, abstract und auxiliary Schemas enthalten auch die möglichen Attributtypen und deren Syntax jede spezifizierte Objektklasse hat eine eindeutige Objekt-ID (OID) jeder LDAP-Server muss eine Reihe von Standard-Schemas verstehen andere Schemas können durch die Konfigurationsdateien hinzugeladen werden Jörg Rödel 5

7 LDAP Grundlagen - Beispielschema objectclass ( NAME account SUP top STRUCTURAL MUST userid MAY ( description $ seealso $ localityname $ organizationname $ organizationalunitname $ host ) ) objectclass ( NAME posixaccount SUP top AUXILIARY DESC Abstraction of an account with POSIX attributes MUST ( cn $ uid $ uidnumber $ gidnumber $ homedirectory ) MAY ( userpassword $ loginshell $ gecos $ description ) ) Jörg Rödel 6

8 LDAP Grundlagen - Beispielobjekt im LDIF-Format dn: uid=donald,ou=people,dc=zlug,dc=org uid: donald cn: Donald Duck objectclass: account objectclass: posixaccount objectclass: top userpassword: {crypt}$1$nvj7kgrd$lc3pccowgbk8bhmfoprdf0 loginshell: /bin/bash uidnumber: 1000 gidnumber: 1000 homedirectory: /home/donald gecos: Donald Duck,,, Jörg Rödel 7

9 LDAP Grundlagen - Hierarchien Anhand der DN werden die Objekte in Hierarchien angeordnet werden of auch als Namespaces bezeichnet, welche wiederum Sub-Namespaces enthalten können DN besteht aus 2 Teilen, der Base-DN und Relative DN (RDN) die Base-DN entspricht der DN des Parent-Objekts im vorherigen Beispiel entspricht uid=donald der RDN und ou=people, dc=zlug, dc=org der Base-DN Jörg Rödel 8

10 LDAP versus RDBMS All das könnte man auch in einer relationalen Datenbank speichern. Warum wird das nicht gemacht? 1. Hierarchien lassen sich in RDBMS nicht optimal abbilden 2. Die Datanbanken unterschiedlicher Hersteller verwenden imkompatible Zugriffsprotokolle -> Applikationen müssen für jede neue Datenbank angepasst und getestet werden. 3. Datenbanken verwenden optimierte Backends, die sich nicht austauschen lassen, das erschwert die Zusammenführung unterschiedlicher Datenquellen. Jörg Rödel 9

11 LDAP Implementierungen Open-Source Implementierung OpenLDAP Microsofts Active Directory besitzt auch eine LDAP-Schnittstelle, ist aber erst seit Windows.NET-Server richtig LDAP-konform Novells Directory System (NDS) was mit Netware vertrieben wird weitere von IBM, SUN und anderen Herstellern kleiner, unvollständiger LDAP-Server TinyLDAP, geschrieben von Felix von Leitner ( unterstützt nur lesenden Zugriff, als einziges Backend ist LDIF implementiert Jörg Rödel 10

12 OpenLDAP sehr leistungsfähige Open-Source Implementierung des LDAP-Protokolls volle Unterstützung des LDAPv3 Protokolls bringt grosse Reihe von Backends mit, unter anderem LDIF, DBM, SQL, SHELL, PERL,... enthält eine Reihe von Sicherheitsfeatures: TLS, SASL, ACL s,... Jörg Rödel 11

13 OpenLDAP - Bestandteile OpenLDAP kommt mit einer ganzen Reihe von Software daher: 1. dem eigentlichen LDAP-Server slapd 2. dem LDAP Replication-Server slurpd 3. den LDAP Client-Bibliotheken für C, C++ und Java 4. den LDAP-Tools, um die DIB von der Kommandozeile aus zu bearbeiten Jörg Rödel 12

14 OpenLDAP - Installation Die Installation kann im wesentlichen auf 2 Arten erfolgen: 1. Man nutzt die Pakete die der jeweiligen Distribution beiliegen. Diese Versionen sind meist vorkompliert und enthalten eventuell nicht alle Komponenten, sind aber für die meisten Anwendungsfälle ausreichend. 2. Man lädt sich die Quellen aus dem Netz und kompiliert sich sein OpenLDAP selbst. Damit hat man die Möglichkeit nur die Teile mit hineinzunehmen, die man wirklich braucht, muß aber auf den Update-Service der Distribution für LDAP verzichten. Idealerweise baut man sich natürlich sein eigenes Paket aus den aktuellen Quellen :-) Jörg Rödel 13

15 OpenLDAP - Konfiguration der Server wird hauptsächlich mit der Datei slapd.conf konfiguriert die Default-Einstellungen für die Clients stehen in der ldap.conf, /.ldaprc oder./.ldaprc daneben existieren noch eine Reihe weiterer Dateien, welche Client und Server beeinflussen, darunter auch die Schema-Definitionen Jörg Rödel 14

16 OpenLDAP - Tools OpenLDAP kommt mit einer Reihe Tools daher, die wichtigsten sind: ldapmodify - Tool, das die Funktionalität der folgenden in sich vereint ldapadd - Hinzufügen von Einträgen ldapmodrdn - ändern des RDN-Teiles eines DN ldapdelete - löschen von Einträgen ldapsearch - suchen nach Einträgen Jörg Rödel 15

17 OpenLDAP - Replikation Oft ist es erwünscht einen OpenLDAP-Server zur Lastverteilung zu replizieren Es gibt genau einen Master-Server Der Master-Server kann auf mehrere Slave-Server repliziert werden Bei entsprechender Konfiguration leiten die Slave-Server modifizierende Anfragen an den Master-Server um Damit ist größtmögliche Konsistenz der einzelnen Server gewährleistet Jörg Rödel 16

18 LDAP im Einsatz am weitesten ausgereift ist die zentrale Nutzer und Gruppenverwaltung zentrales Adressbuch für , PDA,... Repräsentation von Organisationshierarchien speichern von Dokumentenverzeichnissen als Datenspeicher für DNS und DHCP allgemein als NIS-Ersatz Jörg Rödel 17

19 Literatur zu LDAP die OpenLDAP Homepage der OpenLDAP Aministrators Guide das Buch LDAP verstehen, OpenLDAP einsetzen ISBN LDAP Tutorial unter Jörg Rödel 18

20 Ausblick Der 2. Teil dieser Vortragsreihe findet sehr wahrscheinlich am 19. April 2004 um 19 Uhr statt. Darin geht es dann um: konkrete Vorführung und Einrichtung von LDAP-Konnektivität für verschiedene Systeme (Nutzeranmeldung, Samba, [Mailserver,...]) Verwendung der LDAP-Programmierschnittstelle eventuell noch ein kurzer Ausflug in die Quellen von OpenLDAP, vor allem die Backends um zu zeigen, wie diese arbeiten und wie man diese selbst schreibt eure Vorschläge :-) Jörg Rödel 19

21 Genug für heute Fragen? Jörg Rödel 20