序：工作中在CA系统中用到了LDAP，使用开源的openldap，今天由于工作需要参加了南大通用的LDAP的基础培训，在此做下学习笔记，加深学习效果。
1，目录服务与LDAP是什么
目录服务是一个特殊的数据库，用来保存描述性的、基于属性的详细信息，支持过滤功能。目录是动态的，灵活的，易扩展的。例如：人员组织管理 ，电话簿，地址簿等。
LDAP： LDAP(Lightweight Directory Access Protocol)代表轻量级目录访问协议。有以下几个特点:
1，用于访问目录服务的一个标准，可扩展的internet协议。
2，基于X.500标准，但更简单，更精炼，可扩展性更好。
3，与其他某些通信协议相比，它是轻量级的。
信息被集中存储在服务器上的LDAP目录中。数据按层次树状结构存储；信息模型是以条目(entry)为基础，一个条目是属性的集合，并具有全局唯一 DN(Distinguished Named)
用来唯一标识。所谓条目类似于数据库中一条记录。
2，LDAP和关系型数据库的区别
LDAP是一种与关系型数据库不同的，特殊的数据库，严格意义上说，LDAP根本不是数据库而是用来访问存储在信息目录（也就是LDAP目录）中的信息的协议。
LDAP和关系数据库是两种不同层次的概念，后者是存贮方式（同一层次如网格数据库，对象数据库），前者是存贮模式和访问协议。LDAP是一个比关系数据库抽象层次更高的存贮概念，与关系数据库的查询语言SQL属同一级别。LDAP最基本的形式是一个连接数据库的标准方式。该数据库为读查询作了优化，使LDAP的读操作优于写操作。因此它可以很
快地得到查询结果，不过在其它方面，例如更新，就慢得多。
就像Sybase、Oracle、Informix或Microsoft的数据库管理系统（DBMS）是用于处理查询和更新关系型数据库那样，LDAP服务器也是用来处理查询和更新LDAP目录的。换句
话来说LDAP目录也是一种类型的数据库，但是不是关系型数据库。不象被设计成每分钟需要处理成百上千条数据变化的数据库，LDAP主要是优化数据读取的性能。
目录是特殊化的数据库, 有着与传统意义上的关系数据库不同的特征：
1，用户访问目录通常比更新目录多得多，目录适合存储相对静态的信息。,
2，目录不支持事务机制
3，信息访问机制不同
大多数关系数据库支持标准化的sql访问方式，而LDAP目录的访问使用简单的而又优化的访问方式。
3，LDAP的模型
LDAP包括信息模型，命名模型，功能模型，安全模型。
信息模型：条目按树状的层次化的结构条目是一个属性的集合并带有一个唯一判别名DN。例如:数据表的结构,或一条记录的如何存储都属于信息模型。
命名模型：如何组织及定义数据，将条目规划为一个树状结构。例如：按地理位置，组织部门等划分。
功能模型：功能模型是目录客户端用来与目录进行通信的方法。
• LDAP 提供以下四类10种操作：
– 查询类操作－－如搜索、比较；
– 更新类操作－－如添加条目、删除条目、修改条目、修改条目名；
– 认证类操作－－做客户身份验证和访问控制，对目录进行身份验证（绑定操作bind，解绑定操作unbind）；
– 扩展操作- -如放弃和扩展操作。
• 除了扩展操作，别的都是LDAP的标准操作；扩展操作是LDAP中为了增加新的功能，提供的一种标准的扩展框架,不同的LDAP厂商也均定义了自己的扩展操作。
安全模型：安全模型为根据目录进行身份验证以及授权客户端控制对目录的访问提供了方法。
安全模型包括以下两个组件：
• 使用 LDAP 的 身份验证
• 对目录中的对象的访问控制 (ACL)
LDAP 身份验证涉及绑定到 LDAP 服务器上的实体。根据接受还是拒绝该实体的凭据来确定绑定操作的成败。如果绑定成功，则实体通过身份验证；如果失败，则实体没有通过身份
验证。当通过身份验证后，客户端只能像目录的访问控制列表（Access Control List，ACL）中定义的那样使用 LDAP 目录。ACL 在 LDAP 目录中的实施是依赖于实施的。LDAP 身
份验证是为保护目录事务专门设计的。将 LDAP 身份验证用于除 LDAP 目录访问之外的其他目的，可能导致性能问题。这是因为 LDAP 目录服务不是为处理大量身份验证请求而设
计的，而非常适用于进行目录事务处理。
4，LDAP用在哪些地方
以下数据适合存放在目录服务器中：1， 需要经常读取而又较少更改的数据。2，比较容易表示成由属性构成的数据。3，需要在多个用户间共享的数据。4，需要在不同的地点访问的数据,如 ：用户信息、设备信息、地址信息等。所以需要经常更改和数据量非常的大，结构化又非常差的数据则不适合存放在目录服务器中，例如文档，报告等 无法用属性集合表示。
LDAP的应用主要涉及几种类型：
信息安全类：数字证书管理（比如CA证书主题DN的存储）、授权管理、单点登录；
科学计算类：DCE (Distributed Computing Envirionment，分布式计算环境)、UDDI （Universal Description，Discovery and Integration, 统一描述、发现和集成议）；
网络资源管理类：MAIL系统、DNS系统、网络用户管理、电话号码簿；电子政务
资源管理类：内网组织信息服务、电子政务目录体系、人口基础库、法人基础库。