OpenLDAP是？

你好,OpenLDAP是维客的意思

维客的原名为wiki（也译为维基），据说WikiWiki一词来源于夏威夷语的“wee kee wee kee”，原意为“快点快点”。它其实是一种新技术，一种超文本系统。这种超文本系统支持面向社群的协作式写作，同时也包括一组支持这种写作的辅助工具。也就是说，这是多人协作的写作工具。而参与创作的人，也被称为维客。

在维客页面上，每个人都可浏览、创建、更改文本，系统可以对不同版本内容进行有效控制管理，所有的修改记录都保存下来，不但可事后查验，也能追踪、回复至本来面目。这也就意味着每个人都可以方便地对共同的主题进行写作、修改、扩展或者探讨。同一维客网站的写作者自然构成了一个社群，维客系统为这个社群提供简单的交流工具。

维客的概念始于1995年，当时在PUCC（Purdue University Computing Center）工作的沃德·坎宁安（Ward Cunningham）建立了一个叫波特兰模式知识库（Portland Pattern Repository）的工具，其目的是方便社群的交流，他也因此提出了wiki这一概念。从1996年至2000年间，波特兰模式知识库得到不断的发展，维客的概念也得到丰富和传播，网上又出现了许多类似的网站和软件系统，其中最有名的就是维基百科（Wikipedia）。维基百科是一个国际性的百科全书协作计划，与传统百科全书不同的地方，它力图通过大众的参与，创作一个包含人类所有知识领域的百科全书。它还是一部内容开放的百科全书，允许任何第三方不受限制地复制、修改及再发布材料的任何部分或全部。

目前国内著名的维客(wiki)网站有：

维客网 http://wwwwikicn/

维客中国 http://wwwwikicncom/ http://wwwwikicnnet/

搜派百科 http://wwwsopaiorg/ http://wwwsopaicom/

网络天书 http://wwwcnicorg/

维库 http://wwwwikilibcom/

天下维客 http://wwwallwikicom/

互动在线 http://wwwhoodongcom/

维基百科 http://zhwikipediaorg/(目前国内暂时无法访问)

希望下面的说明能帮到你。

安装“Foxmail企业地址簿”软件，该软件在站点foxfoxmailcomcn的下载区提供免费下载。

构建好网络地址簿服务器端之后，就可以在Foxmail下使用了。

点击Foxmail地址簿窗口“文件”菜单下的“新建连接”，将会弹出“LDAP服务器”设置对话框。在“属性”页，需要填写需要填写以下属性：

“帐号名称”：就是新建连接的名称。

“服务器名”：网络地址簿服务器名称，也可以填写服务器的IP地址。

“此服务器要求登陆”：要访问网络地址簿，必须选中该复选项。

“帐号”、“密码”：每个网络地址簿的注册用户都有一个帐号和相应的密码。

“域”：网络地址簿下可以开设不同的域，这里填写帐号所在的域。

“LDAP服务器”设置对话框的“高级”页可以设置其他一些属性，一般使用默认值即可。

属性填写完成后，点击“确定”，将会在地址簿窗口树状列表中看到两个新的网络地址簿文件夹，一个是私人地址簿，一个是公共地址簿。展开网络地址簿文件夹，将看到状态栏出现“正在连接地址服务器，请稍候 按ESC建取消”的信息。

如果一切正常，将打开网络地址簿。对于网络地址簿中的私人地址簿，您可以像操作本地地址簿一样进行各种操作，对于网络地址簿中的公共地址簿，只能读取其中的联系人信息。每一个使用该网络地址簿的用户的E-mail地址都会自动添加到公共地址簿。

摘　要：强烈建议您不要这样做。许多应用程序通过LDAP与目录服务进行通信，但是LDAP征求意见文档（RFC）说明规定，LDAP绑定应该支持凭据的传递。匿名连接没有实际的必要。您可能有很多UNIX攻畅掇堆墀瞪峨缺法画风格的应用程序，它们使用匿名LDAP绑定到其它的目录服务，但是实际上它们很可能支持通过凭据进行绑定，因此匿名绑定没有必要。

启用共享服务：TCP/IP NetBIOS Helper、WorkStation；

本连接属性处勾 网络文件打印机共享

右键点解打印机选择共享通共享式供局域网内用户共享打印

客户端通查看打印服务器共享文件夹式查看打印机属性安装驱并本机打印机传真机看见共享打印机

具体操作：安装打印机主机ip假设1921680123

需要使用台打印机用户要本机ie址栏输入\\1921681123看见打印机图标双击便本机看见并使用该打印机

顾姝钓酉嬷洛蠡栋怀典旸式横隗盈辞泮铭童穷

一．修改Admin的密码。

在开始连接之前，我们要修改WebLogic的内置LDAP Server的Admin的密码。修改方法如下。

1．打开控制台，点击控制台左边的Security，然后选择Embedded LDAP（内置LDAP）。

2．修改密码：修改Credential:的值为：88888888，在ConfiRM Credential:中再输入一遍。

3．单击下方的“Apply”按钮。

我们的Admin的密码就修改成功了。

二．使用Jxplorer浏览LDAP的内容

1． 打开Jxplorer。

启动Jxplorer的命令是jxplorerbat，在Jxplorer的目录中可以找到这个文件。双击即可。界面如下。

2． 单击左上角的第一个按钮，配置LDAP的连接参数。请按照图中的参数值配置。

Host：输入WebLogic Server所在的机器的IP地址或机器名，如果在本机，可以不用更改，默认“localhost”。

Port：不要修改。一般的LDAP的端口是389，但Weblogic的是7001，这可以从BEA的WLS的帮助上找到。这让我费了很大劲才找到原因。

Protocol：不要改动，LDAP v3是最后的协议版本，也是最高级的版本。 Base DN：dc=XX，XX是你的WLS所在的域的域名，如果你是默认安装的，那么应该是mydomain。

Security部分的Level：我们选择User+Password。当然也可以匿名登录，但你的权限就降低了。

User DN：cn=Admin。WLS的cn（Common Name）的默认的用户是Admin。 Password：输入88888888。

单击OK。

3． 如果你的配置参数没有错误的话，那么你会看到下面的画面。

4． 单击右边的“Table Editor”。你会看到当前对象的所有属性及属性值。

至此，你已经成功的连接到了WLS的内置的LDAP上了。

三．修改、添加属性

看到了这些属性，你可能希望修改一些值，或者有些属性这里面没有，下面我们来实现这个需求。

1．首先我们应该找到前面提到的WLS中的控制用户权限的aclsprop文件。这个文件在X:beaweblogic81serverlib下面，X：为你的安装盘符。打开它。

上面的注释说的是默认的情况下只允许Admin用户访问，并且只有读的权限。如果希望能够进行其他的操作，请参照我的第10篇笔记写控制规则。在这篇笔记里，我们并不想实现非常精细的权限控制，我们只要将选中的部分和最后两行的前面的“#”去掉保存就可以了。

保存后，重新启动WLS。

2．下面我们添加一个用户。在People上点击右键，在弹出菜单中选择“New”。

3．在弹出的界面上的“Enter RND”中输入“uid=zj”。“zj”是我随便起的名字，并没有特殊意义。其他项不变，单击“OK”。

为对象添加自定义属性时也需要改变“selected Classes”，后面再说。

5． 单击界面的右边的“Submit”按钮。出现错误提示。

6． 这是因为有些属性没有默认值，但又不允许为空，所以操作没有成功。

7． 我们修改哪些必填的属性。你可能会问，哪些属性必填呢？这个问题我们过会儿讨论，现在我给所有的属性都赋值（当然这是不必要的，但为了简单，我们这里先这样做）。保存。保存成功，界面如下。

8． 此时我么你可以修改任何一个属性的值，然后单击“submit”保存。当然我们更改后的值应该是合法的（长度、数据类型等都要合法）。

至此，我们完成了修改对象的属性的说明。

四．添加自定义属性

为了迎合我们的项目的需要，添加自定义属性是不可避免的，但我们在添加自定义属性前首先要查一下LDAP的规范，看看里面是否已经有了我们要添加的属性的 名字，比如“userPassword”，在LDAP已经公布的规范中已经定义了，所

以你如果在自己的对象中添加这个属性是不正确的。你可以到

http://wwwldapmanorg/schema-references/ 上查找你要添加的属性名是否在规范中的Schema中定义了。

Schema是定义了目录服务器中包含的对象的定义文件（这是我的总结，当然你可以到wwwldapmanorg上看上面的几篇LDAP的入门文章，那里面有比较详细的介绍）。

我们打开WLS中的Schema文件看看。WLS中的Schema文件名为

Schemacorexml，位置为X:beaweblogic81serverlib，X:为你安装的WLS的盘符。如图。

在这里我不想讲解Schema的语法结构（你可以阅读相关的LDAP的规范，这些规范都可以在）wwwldapmanorg上找到。

在这里我们复制一段，稍加修改就可以了。

1．复制选中的文字。

2．粘贴到选中的文字的下方，并将id和name的值都修改为mylove（这是我喜欢的一首英文歌的名字）。将dsml:object- identifier的值去掉，添加一个新属性iknowiloveyou（这是我喜欢的另一首英文歌的名字^_^），注意后面的 required=true的意思是这是个必填的属性。修改后如下：

<dsml:class

id="mylove"

type="structural"

superior="#top">

<dsml:name>mylove</dsml:name>

<dsml:description>ltf's test</dsml:description>

<dsml:object-identifier></dsml:object-identifier>

<dsml:attribute ref="#iknowiloveyou" required="true"/>

<dsml:attribute ref="#peoplename" required="false"/>

<dsml:attribute ref="#peoplepassword" required="false"/>

<dsml:attribute ref="#description" required="false"/>

</dsml:class>

保存。重新启动WLS。

3．启动Jxplorer，为用户zj添加子入口（Entry）。我们选择将子入口添加到RDN（相对DN）sn（surname，参见LDAP的规范）的下面。

我们在zj的上面点击右键。

在弹出菜单上选择“New”。弹出界面如下。

单击“OK”，保存成功，注意这里面有些类是必须的，如top。

4．我们再展开zj看看。发现下面多了一个子入口。选择子入口li，属性显示在右边属性栏。

什么是LDAP

LDAP的英文全称是Lightweight Directory Access Protocol，一般都简称为LDAP。它是基于X500标准的，

但是简单多了并且可以根据需要定制。与X500不同，LDAP支持TCP/IP，这对访问Internet是必须的。LDAP

的核心规范在RFC中都有定义，所有与LDAP相关的RFC都可以在LDAPman RFC网页中找到。现在LDAP技术不仅

发展得很快而且也是激动人心的。在企业范围内实现LDAP可以让运行在几乎所有计算机平台上的所有的应

用程序从LDAP目录中获取信息。LDAP目录中可以存储各种类型的数据：电子邮件地址、邮件路由信息、人力

资源数据、公用密匙、联系人列表，等等。通过把LDAP目录作为系统集成中的一个重要环节，可以简化员工

在企业内部查询信息的步骤，甚至连主要的数据源都可以放在任何地方。

LDAP目录的优势

如果需要开发一种提供公共信息查询的系统一般的设计方法可能是采用基于WEB的数据库设计方式，即前端

使用浏览器而后端使用WEB服务器加上关系数据库。后端在Windows的典型实现可能是Windows NT + IIS + Acess

数据库或者是SQL服务器，IIS和数据库之间通过ASP技术使用ODBC进行连接，达到通过填写表单查询数据的功能；

后端在Linux系统的典型实现可能是Linux+ Apache + postgresql，Apache和数据库之间通过PHP3提供的函数进

行连接。使用上述方法的缺点是后端关系数据库的引入导致系统整体的性能降低和系统的管理比较繁琐，因为需

要不断的进行数据类型的验证和事务的完整性的确认；并且前端用户对数据的控制不够灵活，用户权限的设置一

般只能是设置在表一级而不是设置在记录一级。

目录服务的推出主要是解决上述数据库中存在的问题。目录与关系数据库相似，是指具有描述性的基于属性的记

录集合，但它的数据类型主要是字符型，为了检索的需要添加了BIN（二进制数据）、CIS（忽略大小写）、CES

（大小写敏感）、TEL（电话型）等语法（Syntax），而不是关系数据库提供的整数、浮点数、日期、货币等类型，

同样也不提供象关系数据库中普遍包含的大量的函数，它主要面向数据的查询服务（查询和修改操作比一般是大于

10:1），不提供事务的回滚（rollback）机制，它的数据修改使用简单的锁定机制实现All-or-Nothing，它的目标

是快速响应和大容量查询并且提供多目录服务器的信息复制功能。

现在该说说LDAP目录到底有些什么优势了。现在LDAP的流行是很多因数共同作用的结果。可能LDAP最大的优势是：

可以在任何计算机平台上，用很容易获得的而且数目不断增加的LDAP的客户端程序访问LDAP目录。而且也很容易

定制应用程序为它加上LDAP的支持。

LDAP协议是跨平台的和标准的协议，因此应用程序就不用为LDAP目录放在什么样的服务器上操心了。实际上，LDAP

得到了业界的广泛认可，因为它是Internet的标准。产商都很愿意在产品中加入对LDAP的支持，因为他们根本不用

考虑另一端（客户端或服务端）是怎么样的。LDAP服务器可以是任何一个开发源代码或商用的LDAP目录服务器（或

者还可能是具有LDAP界面的关系型数据库），因为可以用同样的协议、客户端连接软件包和查询命令与LDAP服务器

进行交互。与LDAP不同的是，如果软件产商想在软件产品中集成对DBMS的支持，那么通常都要对每一个数据库服务

器单独定制。不象很多商用的关系型数据库，你不必为LDAP的每一个客户端连接或许可协议付费 大多数的LDAP服务

器安装起来很简单，也容易维护和优化。

LDAP服务器可以用“推”或“拉”的方法复制部分或全部数据，例如：可以把数据“推”到远程的办公室，以增加

数据的安全性。复制技术是内置在LDAP服务器中的而且很容易配置。如果要在DBMS中使用相同的复制功能，数据库

产商就会要你支付额外的费用，而且也很难管理。

LDAP允许你根据需要使用ACI（一般都称为ACL或者访问控制列表）控制对数据读和写的权限。例如，设备管理员可

以有权改变员工的工作地点和办公室号码，但是不允许改变记录中其它的域。ACI可以根据谁访问数据、访问什么数

据、数据存在什么地方以及其它对数据进行访问控制。因为这些都是由LDAP目录服务器完成的，所以不用担心在客

户端的应用程序上是否要进行安全检查。

LDAP（Lightweight Directory Acess Protocol）是目录服务在TCP/IP上的实现（RFC 1777 V2版和RFC 2251

V3版）。它是对X500的目录协议的移植，但是简化了实现方法，所以称为轻量级的目录服务。在LDAP中目录是按照

树型结构组织，目录由条目（Entry）组成，条目相当于关系数据库中表的记录；条目是具有区别名DN（Distinguished

Name）的属性（Attribute）集合，DN相当于关系数据库表中的关键字（Primary

Key）；属性由类型（Type）和多个值（Values）组成，相当于关系数据库中的域（Field）由域名和数据类型组成，

只是为了方便检索的需要，LDAP中的Type可以有多个Value，而不是关系数据库中为降低数据的冗余性要求实现的各

个域必须是不相关的。LDAP中条目的组织一般按照地理位置和组织关系进行组织，非常的直观。LDAP把数据存放在

文件中，为提高效率可以使用基于索引的文件数据库，而不是关系数据库。LDAP协议集还规定了DN的命名方法、存

取控制方法、搜索格式、复制方法、URL格式、开发接口等

LDAP对于这样存储这样的信息最为有用，也就是数据需要从不同的地点读取，但是不需要经常更新。

例如，这些信息存储在LDAP目录中是十分有效的：

l 公司员工的电话号码簿和组织结构图

l 客户的联系信息

l 计算机管理需要的信息，包括NIS映射、email假名，等等

l 软件包的配置信息

l 公用证书和安全密匙

什么时候该用LDAP存储数据

大多数的LDAP服务器都为读密集型的操作进行专门的优化。因此，当从LDAP服务器中读取数据的时候会比从专门为

OLTP优化的关系型数据库中读取数据快一个数量级。也是因为专门为读的性能进行优化，大多数的LDAP目录服务器

并不适合存储需要需要经常改变的数据。例如，用LDAP服务器来存储电话号码是一个很好的选择，但是它不能作为

电子商务站点的数据库服务器。

如果下面每一个问题的答案都是“是”，那么把数据存在LDAP中就是一个好主意。

l 需要在任何平台上都能读取数据吗？

l 每一个单独的记录项是不是每一天都只有很少的改变？

l 可以把数据存在平面数据库（flat database）而不是关系型数据库中吗？换句话来说，也就是不管什么范式不

范式的，把所有东西都存在一个记录中（差不多只要满足第一范式）。

最后一个问题可能会唬住一些人，其实用平面数据库去存储一些关系型的数据也是很一般的。例如，一条公司员工

的记录就可以包含经理的登录名。用LDAP来存储这类信息是很方便的。一个简单的判断方法：如果可以把保数据存

在一张张的卡片里，就可以很容易地把它存在LDAP目录里。

安全和访问控制

LDAP提供很复杂的不同层次的访问控制或者ACI。因这些访问可以在服务器端控制，这比用客户端的软件保证数据的

安全可安全多了。

用LDAP的ACI，可以完成：

l 给予用户改变他们自己的电话号码和家庭地址的权限，但是限制他们对其它数据（如，职务名称，经理的登录名，

等等）只有“只读”权限。

l 给予“HR-admins"组中的所有人权限以改变下面这些用户的信息：经理、工作名称、员工号、部门名称和部门号。

但是对其它域没有写权限。

l 禁止任何人查询LDAP服务器上的用户口令，但是可以允许用户改变他或她自己的口令。

l 给予经理访问他们上级的家庭电话的只读权限，但是禁止其他人有这个权限。

l 给予“host-admins"组中的任何人创建、删除和编辑所有保存在LDAP服务器中的与计算机主机有关的信息

l 通过Web，允许“foobar-sales"组中的成员有选择地给予或禁止他们自己读取一部分客户联系数据的读权限。这

将允许他们把客户联系信息下载到本地的笔记本电脑或个人数字助理（PDA）上。（如果销售人员的软件都支持LDAP，

这将非常有用）

l 通过Web，允许组的所有者删除或添加他们拥有的组的成员。例如：可以允许销售经理给予或禁止销售人员改变Web

页的权限。也可以允许邮件假名（mail aliase）的所有者不经过IT技术人员就直接从邮件假名中删除或添加用户。

“公用”的邮件列表应该允许用户从邮件假名中添加或删除自己（但是只能是自己）。也可以对IP地址或主机名加以

限制。例如，某些域只允许用户IP地址以192168200开头的有读的权限，或者用户反向查找DNS得到的主机名必须

为foobarcom。

LDAP目录树的结构

LDAP目录以树状的层次结构来存储数据。如果你对自顶向下的DNS树或UNIX文件的目录树比较熟悉，也就很容易掌握

LDAP目录树这个概念了。就象DNS的主机名那样，LDAP目录记录的标识名（Distinguished Name，简称DN）是用来读取

单个记录，以及回溯到树的顶部。后面会做详细地介绍。

为什么要用层次结构来组织数据呢？原因是多方面的。下面是可能遇到的一些情况：

l 如果你想把所有的美国客户的联系信息都“推”到位于到西雅图办公室（负责营销）的LDAP服务器上，但是你不想

把公司的资产管理信息“推”到那里。

l 你可能想根据目录树的结构给予不同的员工组不同的权限。在下面的例子里，资产管理组对“asset-mgmt"部分有完

全的访问权限，但是不能访问其它地方。

l 把LDAP存储和复制功能结合起来，可以定制目录树的结构以降低对WAN带宽的要求。位于西雅图的营销办公室需要每

分钟更新的美国销售状况的信息，但是欧洲的销售情况就只要每小时更新一次就行了。

刨根问底：基准DN

LDAP目录树的最顶部就是根，也就是所谓的“基准DN"。基准DN通常使用下面列出的三种格式之一。假定我在名为FooBar

的电子商务公司工作，这家公司在Internet上的名字是foobarcom。

o="FooBar, Inc", c=US

（以X500格式表示的基准DN）

在这个例子中，o=FooBar, Inc 表示组织名，在这里就是公司名的同义词。c=US 表示公司的总部在美国。以前，一般

都用这种方式来表示基准DN。但是事物总是在不断变化的，现在所有的公司都已经（或计划）上Internet上。随着

Internet的全球化，在基准DN中使用国家代码很容易让人产生混淆。现在，X500格式发展成下面列出的两种格式。

o=foobarcom

（用公司的Internet地址表示的基准DN）

这种格式很直观，用公司的域名作为基准DN。这也是现在最常用的格式。

dc=foobar, dc=com

（用DNS域名的不同部分组成的基准DN）

就象上面那一种格式，这种格式也是以DNS域名为基础的，但是上面那种格式不改变域名（也就更易读），而这种格式

把域名：foobarcom分成两部分 dc=foobar, dc=com。在理论上，这种格式可能会更灵活一点，但是对于最终用户来说

也更难记忆一点。考虑一下foobarcom这个例子。当foobarcom和gizmocom合并之后，可以简单的把“dc=com"当作基

准DN。把新的记录放到已经存在的dc=gizmo, dc=com目录下，这样就简化了很多工作（当然，如果foobarcom和wocketedu

合并，这个方法就不能用了）。如果LDAP服务器是新安装的，我建议你使用这种格式。再请注意一下，如果你打算使用活动

目录（Actrive Directory），Microsoft已经限制你必须使用这种格式。

更上一层楼：在目录树中怎么组织数据

在UNIX文件系统中，最顶层是根目录（root）。在根目录的下面有很多的文件和目录。象上面介绍的那样，LDAP目录也是

用同样的方法组织起来的。

在根目录下，要把数据从逻辑上区分开。因为历史上（X500）的原因，大多数LDAP目录用OU从逻辑上把数据分开来。OU

表示“Organization Unit"，在X500协议中是用来表示公司内部的机构：销售部、财务部，等等。现在LDAP还保留ou=这

样的命名规则，但是扩展了分类的范围，可以分类为：ou=people, ou=groups, ou=devices，等等。更低一级的OU有时用

来做更细的归类。例如：LDAP目录树（不包括单独的记录）可能会是这样的：

dc=foobar, dc=com

ou=customers

ou=asia

ou=europe

ou=usa

ou=employees

ou=rooms

ou=groups

ou=assets-mgmt

ou=nisgroups

ou=recipes

单独的LDAP记录

DN是LDAP记录项的名字

在LDAP目录中的所有记录项都有一个唯一的“Distinguished Name"，也就是DN。每一个LDAP记录项的DN是由两个部分

组成的：相对DN（RDN）和记录在LDAP目录中的位置。

RDN是DN中与目录树的结构无关的部分。在LDAP目录中存储的记录项都要有一个名字，这个名字通常存在cn（Common Name）

这个属性里。因为几乎所有的东西都有一个名字，在LDAP中存储的对象都用它们的cn值作为RDN的基础。如果我把最喜欢的

吃燕麦粥食谱存为一个记录，我就会用cn=Oatmeal Deluxe作为记录项的RDN。

l 我的LDAP目录的基准DN是dc=foobar,dc=com

l 我把自己的食谱作为LDAP的记录项存在ou=recipes

l 我的LDAP记录项的RDN设为cn=Oatmeal Deluxe

上面这些构成了燕麦粥食谱的LDAP记录的完整DN。记住，DN的读法和DNS主机名类似。下面就是完整的DN：

cn=Oatmeal Deluxe,ou=recipes,dc=foobar,dc=com

举一个实际的例子来说明DN

现在为公司的员工设置一个DN。可以用基于cn或uid（User ID），作为典型的用户帐号。例如，FooBar的员工Fran Smith

（登录名：fsmith）的DN可以为下面两种格式：

uid=fsmith,ou=employees,dc=foobar,dc=com

（基于登录名）

LDAP（以及X500）用uid表示“User ID"，不要把它和UNIX的uid号混淆了。大多数公司都会给每一个员工唯一的登录名，

因此用这个办法可以很好地保存员工的信息。你不用担心以后还会有一个叫Fran Smith的加入公司，如果Fran改变了她的

名字（结婚？离婚？或宗教原因？），也用不着改变LDAP记录项的DN。

cn=Fran Smith,ou=employees,dc=foobar,dc=com

（基于姓名）

可以看到这种格式使用了Common Name（CN）。可以把Common Name当成一个人的全名。这种格式有一个很明显的缺点就是：

如果名字改变了，LDAP的记录就要从一个DN转移到另一个DN。但是，我们应该尽可能地避免改变一个记录项的DN。

定制目录的对象类型

你可以用LDAP存储各种类型的数据对象，只要这些对象可以用属性来表示，下面这些是可以在LDAP中存储的一些信息：

l 员工信息：员工的姓名、登录名、口令、员工号、他的经理的登录名，邮件服务器，等等。

l 物品跟踪信息：计算机名、IP地址、标签、型号、所在位置，等等。

l 客户联系列表：客户的公司名、主要联系人的电话、传真和电子邮件，等等。

l 会议厅信息：会议厅的名字、位置、可以坐多少人、电话号码、是否有投影机。

l 食谱信息：菜的名字、配料、烹调方法以及准备方法。

因为LDAP目录可以定制成存储任何文本或二进制数据，到底存什么要由你自己决定。LDAP目录用对象类型

（object classes）的概念来定义运行哪一类的对象使用什么属性。在几乎所有的LDAP服务器中，你都要根据

自己的需要扩展基本的LDAP目录

的功能，创建新的对象类型或者扩展现存的对象类型。

LDAP目录以一系列“属性对”的形式来存储记录项，每一个记录项包括属性类型和属性值（这与关系型数据库

用行和列来存取数据有根本的不同）。下面是我存在LDAP目录中的一部分食谱记录：

dn: cn=Oatmeal Deluxe, ou=recipes, dc=foobar, dc=com

cn: Instant Oatmeal Deluxe

recipeCuisine: breakfast

recipeIngredient: 1 packet instant oatmeal

recipeIngredient: 1 cup water

recipeIngredient: 1 pinch salt

recipeIngredient: 1 tsp brown sugar

recipeIngredient: 1/4 apple, any type

请注意上面每一种配料都作为属性recipeIngredient值。LDAP目录被设计成象上面那样为一个属性保存多个值的，

而不是在每一个属性的后面用逗号把一系列值分开。

因为用这样的方式存储数据，所以数据库就有很大的灵活性，不必为加入一些新的数据就重新创建表和索引。更

重要的是，LDAP目录不必花费内存或硬盘空间处理“空”域，也就是说，实际上不使用可选择的域也不会花费你

任何资源。

作为例子的一个单独的数据项

让我们看看下面这个例子。我们用Foobar, Inc的员工Fran Smith的LDAP记录。这个记录项的格式是LDIF，用来

导入和导出LDAP目录的记录项。

dn: uid=fsmith, ou=employees, dc=foobar, dc=com

objectclass: person

objectclass: organizationalPerson

objectclass: inetOrgPerson

objectclass: foobarPerson

uid: fsmith

givenname: Fran

sn: Smith

cn: Fran Smith

cn: Frances Smith

telephonenumber: 510-555-1234

roomnumber: 122G

o: Foobar, Inc

mailRoutingAddress: fsmith@foobarcom

mailhost: mailfoobarcom

userpassword: 3x1231v76T89N

uidnumber: 1234

gidnumber: 1200

homedirectory: /home/fsmith

loginshell: /usr/local/bin/bash

属性的值在保存的时候是保留大小写的，但是在默认情况下搜索的时候是不区分大小写的。某些特殊的属性

（例如，password）在搜索的时候需要区分大小写。

让我们一点一点地分析上面的记录项。

dn: uid=fsmith, ou=employees, dc=foobar, dc=com

这是Fran的LDAP记录项的完整DN，包括在目录树中的完整路径。LDAP（和X500）使用uid（User ID），不要

把它和UNIX的uid号混淆了。

objectclass: person

objectclass: organizationalPerson

objectclass: inetOrgPerson

objectclass: foobarPerson

可以为任何一个对象根据需要分配多个对象类型。person对象类型要求cn（common name）和sn（surname）

这两个域不能为空。persion对象类型允许有其它的可选域，包括givenname、telephonenumber，等等。

organizational Person给person加入更多的可选域，inetOrgPerson又加入更多的可选域（包括电子邮件信息）。

最后，foobarPerson是为Foobar定制的对象类型，加入了很多定制的属性。

uid: fsmith

givenname: Fran

sn: Smith

cn: Fran Smith

cn: Frances Smith

telephonenumber: 510-555-1234

roomnumber: 122G

o: Foobar, Inc

以前说过了，uid表示User ID。当看到uid的时候，就在脑袋里想一想“login"。

请注意CN有多个值。就象上面介绍的，LDAP允许某些属性有多个值。为什么允许有多个值呢？假定你在用

公司的LDAP服务器查找Fran的电话号码。你可能只知道她的名字叫Fran，但是对人力资源处的人来说她的

正式名字叫做Frances。因为保存了她的两个名字，所以用任何一个名字检索都可以找到Fran的电话号码、

电子邮件和办公房间号，等等。

mailRoutingAddress: fsmith@foobarcom

mailhost: mailfoobarcom

就象现在大多数的公司都上网了，Foobar用Sendmail发送邮件和处理外部邮件路由信息。Foobar把所有用户

的邮件信息都存在LDAP中。最新版本的Sendmail支持这项功能。

Userpassword: 3x1231v76T89N

uidnumber: 1234

gidnumber: 1200

gecos: Frances Smith

homedirectory: /home/fsmith

loginshell: /usr/local/bin/bash

注意，Foobar的系统管理员把所有用户的口令映射信息也都存在LDAP中。FoobarPerson类型的对象具有这

种能力。再注意一下，用户口令是用UNIX的口令加密格式存储的。UNIX的uid在这里为uidnumber。提醒你一下，

关于如何在LDAP中保存NIS信息，有完整的一份RFC。在以后的文章中我会谈一谈NIS的集成。

LDAP复制

LDAP服务器可以使用基于“推”或者“拉”的技术，用简单或基于安全证书的安全验证，复制一部分或者所

有的数据。

例如，Foobar有一个“公用的”LDAP服务器，地址为ldapfoobarcom，端口为389。Netscape Communicator

的电子邮件查询功能、UNIX的“ph"命令要用到这个服务器，用户也可以在任何地方查询这个服务器上的员工

和客户联系信息。公司的主LDAP服务器运行在相同的计算机上，不过端口号是1389。

你可能即不想让员工查询资产管理或食谱的信息，又不想让信息技术人员看到整个公司的LDAP目录。为了解决

这个问题，Foobar有选择地把子目录树从主LDAP服务器复制到“公用”LDAP服务器上，不复制需要隐藏的信息。

为了保持数据始终是最新的，主目录服务器被设置成即时“推”同步。这些种方法主要是为了方便，而不是安全，

因为如果有权限的用户想查询所有的数据，可以用另一个LDAP端口。

假定Foobar通过从奥克兰到欧洲的低带宽数据的连接用LDAP管理客户联系信息。可以建立从ldapfoobarcom:1389

到munich-ldapfoobarcom:389的数据复制，象下面这样：

periodic pull: ou=asia,ou=customers,o=sendmailcom

periodic pull: ou=us,ou=customers,o=sendmailcom

immediate push: ou=europe,ou=customers,o=sendmailcom

“拉”连接每15分钟同步一次，在上面假定的情况下足够了。“推”连接保证任何欧洲的联系信息发生了变化就

立即被“推”到Munich。

用上面的复制模式，用户为了访问数据需要连接到哪一台服务器呢？在Munich的用户可以简单地连接到本地服务

器。如果他们改变了数据，本地的LDAP服务器就会把这些变化传到主LDAP服务器。然后，主LDAP服务器把这些变化

“推”回本地的“公用”LDAP服务器保持数据的同步。这对本地的用户有很大的好处，因为所有的查询（大多数是读）都在本地的服务器上进行，速度非常快。当需要改变信息的时候，最终用户不需要重新配置客户端的软件，因为LDAP目录服务器为他们完成了所有的数据交换工作。

核心提示： 微软提供了一些本土工具来实现Windows服务器监控。但是通常，管理员想要或者需要更深入地了解环境以留意性能、内存消耗、容量和整体系统健康状态。现在有各种各样的免费的第三方Windows服务器监控工具可以提供帮助。

微软提供了一些本土工具来实现Windows服务器监控。但是通常，管理员想要或者需要更深入地了解环境以留意性能、内存消耗、容量和整体系统健康状态。现在有各种各样的免费的第三方Windows服务器监控工具可以提供帮助。

Nagios。这一套开源工具提供管理套件功能，其最初作为网络管理系统。之后Nagios的功能逐渐充实，如增加了数据中心系统监视功能，其中包括Windows服务器。Nagios监控Windows服务的性能，如Internet Information Services（IIS）、Exchange服务器和动态主机配置协议（DHCP）。如果出现服务变慢或停止，该工具会提示管理员做出应对。

Windows Health Monitor。来自ManageEngine的Windows Health Monitor可以管理多达10个Windows服务器，跟踪服务器内存消耗、磁盘使用、带宽容量和应用程序的性能。如果服务器资源使用超过预设的阈值，管理员会收到通知。

智能平台管理接口（IPMI：Intelligent Platform Management Interface）管理工具。该工具是一组计算机子系统的接口规范，对独立于主机系统的CPU、固件和操作系统进行管理和监控。IPMI管理工具执行常见的服务器管理功能，比如查看固件日志并作用于带外通信，所以能够将网络问题的影响降到最小。IPMI允许管理员管理已关机或无响应的电脑。

CN=Monitor。CN=Monitor提供了轻量级目录访问协议（LDAP）的目录服务器监视工具。因为对于企业网络，性能是提供优质服务的关键。CN=Monitor验证系统复制、检查集群和负载平衡器、评估系统模式并监视缓存大小。该工具还可以评估趋势，以及在需要时生成电子邮件警报。该系统使得公司能够确保服务器配置执行在指定的标准。

New Relic Servers。该软件作为服务监控工具检查哪些服务器存在容量问题，允许管理员在出现问题之前采取纠正措施。根据内存或CPU消耗指定进程优先级。该系统监控云、物理或混合环境中的服务器健康可用性，每天可以完成超过6900亿的指标，涉及400万多个应用程序。

1 什么是LDAP错误

LDAP（Lightweight Directory Access Protocol）是一种常用于分布式目录服务系统的协议，它常用于企业内部的身份验证、访问控制以及用户管理等方面。当在LDAP系统中发现用户验证失败、无法连接到LDAP服务器、无法读取或写入数据等问题时，就会产生LDAP错误。

2 LDAP错误的常见类型

在LDAP系统中，常见的错误类型包括但不限于：

1 连接错误：当LDAP客户端无法建立与LDAP服务器的连接时，就会产生连接错误。这可能是由于网络故障、服务器故障或LDAP客户端配置错误等原因所致。

2 认证错误：当LDAP服务器无法验证用户提供的凭据时，就会产生认证错误。这可能是由于用户名或密码错误、用户帐号已被锁定或禁用等原因所致。

3 搜索错误：当LDAP客户端无法通过查询来搜索LDAP目录时，就会产生搜索错误。这可能是由于查询条件不正确、目录结构不正确或权限不足等原因所致。

4 写入错误：当LDAP客户端无法将数据写入LDAP服务器时，就会产生写入错误。这可能是由于权限不足、目录结构不正确或数据格式错误等原因所致。

3 如何解决LDAP错误

当出现LDAP错误时，可以通过以下几个步骤来解决问题：

1 检查LDAP客户端配置是否正确：确保LDAP客户端的配置文件中包含正确的服务器地址、端口号、验证凭据等信息。

2 检查网络连接是否正常：确保LDAP客户端能够访问LDAP服务器，并且服务器能够响应客户端的请求。

3 检查LDAP服务器配置是否正确：确保LDAP服务器的配置文件中包含正确的目录结构、权限和访问控制等信息。

4 检查用户凭据是否正确：确保LDAP客户端使用的用户名和密码是正确的，并且帐号没有被锁定或禁用。

5 检查目录结构是否正确：确保LDAP目录结构中包含正确的对象类、属性和属性值等信息。

4 如何避免LDAP错误

为了避免LDAP错误，可以采取以下几个措施：

1 配置良好的LDAP服务器：确保LDAP服务器的配置文件中包含正确的目录结构、权限和访问控制等信息，以确保LDAP系统的稳定性和安全性。

2 检查LDAP客户端配置是否正确：确保LDAP客户端的配置文件中包含正确的服务器地址、端口号、验证凭据等信息，以便连接和使用LDAP服务器。

3 训练用户正确使用LDAP系统：为LDAP系统提供培训，教会用户正确使用LDAP系统并遵守访问和权限控制策略。

4 持续监测LDAP系统的性能和状态：定期检查LDAP服务器和LDAP客户端的性能和状态，以及及时发现和解决潜在的LDAP错误。

5 总结

LDAP错误是LDAP系统中常见的问题，可能是由于连接错误、认证错误、搜索错误或写入错误等原因所致。要解决LDAP错误，需要检查LDAP客户端配置、网络状态、LDAP服务器配置、用户凭据和目录结构等方面。为了避免LDAP错误，需要配置良好的LDAP服务器、检查LDAP客户端配置是否正确、培训用户正确使用和持续监测LDAP系统的状态和性能。