Podeldap安装

CarlosFernandoPapottiRA:02131282JoséRicardoM.
BevilacquaRA:02534626JulioCésarCostaMarcondesRA:02121069RaulBaldinRA:02088243LightweightDirectoryAccessProtocolLDAPTópicosemEngenhariadeComputaoAProfessor:EduardoNicolaFerrazZagariCampinas2006IntroduoLDAPéumprotocolo(executadosobreoTCP/IP)cliente-servidor,utilizadoparaacessarumserviodediretório.
ElefoiinicialmenteusadocomoumainterfaceparaoX.
500,mastambémpodeserusadocomautonomiaecomoutrostiposdeservidoresdediretório.
Atualmente,vemsetornandoumpadro,ediversosprogramasjátêmsuporteaLDAP.
Livrosdeendereos,autenticao,armazenamentodecertificadosdigitais(S/MIME)edechavespúblicas(PGP)soalgunsdosexemplosondeoLDAPjáéamplamenteutilizado.
Mas,oqueéumDiretórioUmDiretórioécomoumbancodedados,mastendeacontermaisinformaesdescritivas,baseadasematributoseéorganizadoemformadeárvore,nodetabela.
AinformaoemumDiretórioé,geralmente,maislidadoqueescrita.
Comoconseqüência,Diretóriosnormalmentenosousadosparaimplementartransaescomplexasouesquemasdeconsultasregularesembancosdedados,maspararealizaratualizaes,tudoissoenvolvendoapenaspequenasquantidadesdedados.
Diretóriossopreparadosparadarrespostarápidaaumgrandevolumedeconsultasouoperaesdebusca.
Elestambémpodemterahabilidadedereplicarinformaesextensamente.
Issoéutilizadoparaacrescentardisponibilidadeeconfiabilidade,enquantoreduzemotempoderesposta.
Existemváriasmaneirasdiferentesparadisponibilizarumserviodediretório.
Métodosdiferentespermitemquediferentestiposdeinformaespossamserarmazenadasnodiretório,colocandorequerimentosdiferentessobrecomoaquelainformaopoderáserreferenciada,requisitadaeatualizada,comoelaéprotegidadeacessosnoautorizados,etc.
Algunsserviosdediretóriosolocais,fornecendooservioparaumcontextorestrito(exemplo:oserviofingeremumamáquinaisolada).
Outrosserviossoglobais,fornecendooservioparaumcontextomuitomaior(porexemplo,aprópriaInternet).
Serviosglobaisnormalmentesodistribuídos(conformedemonstrafiguraabaixo),ouseja,cadaservidoréresponsávelporumapartedosdados,apenas.
ODNS(DomainNameSystem)éumexemplo.
Eleéumtipodeserviodediretório,emborabastanteespecializado.
Figura1-DadosdeumDiretóriodistribuídosemtrêsservidores.
UmpoucodehistóriaOLDAPfoioriginalmentedesenvolvidocomoumclienteparaoX.
500,oserviodeDiretórioOSI.
OX.
500defineoProtocolodeAcessoaDiretório(DAP)paraosclientesusaremquandoestiverememcontatocomservidoresdediretório.
ODAPéumprotocolopesado,querodasobreumacamadaOSIcompleta,eprecisadeumaquantidadesignificantederecursoscomputacionaisparaserexecutado.
Tendoissoemvista,pensou-seemcriarumprotocolomaisleveparaquetambémfosseutilizadoemmáquinasdemenorpodercomputacional,comoemdesktopsconvencionais.
Entoforamdesenvolvidosdoisprotocolos,oDirectoryAssistanceService(DAS)eoDirectoryInterfacetoX.
500ImplementedEfficiently(DIXIE),queforamospredecessoresdoLDAP,masqueaindaerammuitoligadosaoX.
500,poisprecisavamdeumservidorintermediárioparaefetuara"traduo"dessesprotocolosparaoDAPquesecomunicariacomoDiretórioX.
500,comoédemonstradoabaixo:Figura2–UtilizandoDIXIEparasecomunicarcomDiretóriosX.
500Ento,auniodeforasdaOSI-DSWorkingGroupedaIETFresultounaconstruodeumnovoprotocolo,oLightweightDirectoryAccessProtocol(LDAP),querodadiretamentesobreTCP/IPeforneceamaioriadasfuncionalidadesdoDAP,aumcustomuitomenor,alémdesermuitomaisleve.
Noprincípio,autilizaodoLDAP(LDAPv1)erasimilaraoDASeaoDIXIE,utilizandoumservidorintermediárioeexigindoumservioX.
500completo.
Aseguranadosdadosquetrafegavamtambémeraumapreocupao,poistodoseram(eaindaso)emformatotexto(strings).
EntofoidesenvolvidooLDAPv2,comautenticaoutilizandooKerberosv4.
Masaopassardosanospercebeu-sequeoscomplexosepesadosDiretóriosX.
500poderiamsersubstituídosporDiretóriosmaislevesequenopossuíssemtamanhacomplexidadequeraramenteerautilizada.
FoientoquesurgiuaideíadedesenvolveroladoservidordoLDAP,ouseja,ServiosdeDiretóriosLDAP,quesoutilizadosatéhoje.
EtambémfoidesenvolvidooLDAPv3(atual)quepossuiumsuportemuitomaioràautenticao(compatívelcomSASLeTLS)eváriasoutrasextensesquepermitemaadiodenovasoperaesecontroles.
ComofuncionaentooprotocoloLDAPComojáfoiditoanteriormente,oserviodediretórioLDAPébaseadoemummodelocliente-servidor.
UmoumaisservidoresLDAPcontémosdadosresidentesemumaárvoredediretórioLDAP.
UmclienteLDAPconecta-seaumservidorefazumarequisio.
Oservidorrespondecomarequisioouexibeumponteiroparaumlocalondeoclientepodeconseguirainformao(tipicamente,outroservidorLDAP).
Pode-seatéfazerumacomparaocomoDNS,adiferenaéqueoservidorLDAPnofazbuscasrecursivas,ouseja,emnomedocliente.
Oclienteéqueéencarregadodeprocurarpeloservidoratéencontrarainformaodesejada.
QuaissoalgumasdasutilidadesdoprotocoloLDAPAntesdeenumerarmosasdiversasutiliadespossíveisdoLDAP,deveserquestionadoquetipodeinformaoexistenarede.
Seestádeformafragmentadaoudesordenadaesenoseriaútilreunirestasinformaesnumsólugar,dandoumanovaformatao,reagrupandoositens,uniformizandoestesdadosdemodoqueestejamfacilmenteacessíveisportodasasestaesdetrabalhonarede.
PodemosagoraindicarqueoLDAPtemsidoutilizadoparaosseguintescenários:emsubstituiodosservidoresNIS,fornecendologin/senha(autenticao)parausuáriosLinux/Unix;autenticaoparausuáriosSAMBA;autenticaoparaserviosdeemail(POP3/IMAP);autenticaoparaaplicativosgroupware(comooMoreGroupware);catálogocomosendereosdeemail,endereos,telefones,etc.
deempregadosouclientesdaempresa;soluodesinglesignon(SSO),permitindoacessoparaváriosambienteearquiteturasdesoftwareesistemasoperacionais.
EquaissoospadresqueoLDAPsegueOprotocoloLDAPdefinequatrotiposbásicosdemodelosquedefinemcomoeleopera,quetipodedadospodemserarmazenadosemseusDiretórioseoquepodeserfeitocomessedados.
TodosessesmodelosestopublicadosemRFCsdisponíveisparaconsultadopúblicoemgeral.
Osmodelosso:ModelodeInformao–defineostiposdedadoseasunidadesbásicasdeinformaoquevocêpodearmazenarnoDiretório;ModelodeNomes–definecomovocêorganizaefazreferênciaaosseusdados;ModelodeSegurana–definequaisprocedimentospodemsertomadosparaseevitaroacessonoautorizadoàsinformaesdoDiretório,comoprotocolosdeencriptaoeautenticao;ModeloFuncional–descreveasoperaesquevocêpoderealizarnoDiretórioutilizandooprotocoloLDAP;EcomosoorganizadosasinformaesnoLDAPOelementobásicodeinformaodeumDiretórioédenominadoentrada,quecorrespondeaumacoleodeinformaesdeumdeterminadoobjetoque,porsuavez,possuidiversosatributosqueodescreve.
Cadaatributopossuiumtipo,quedefinequetipodeinformaoestácontidanoatributo,eumvalor,quecontémodadopropriamentedito.
Essesobjetospodemcorresponderaobjetosdomundorealmesmo,comopessoas,impressoras,servidores,etc.
,masnonecessariamenteprecisamserdomundoreal,podeserqualquertipodeinformao.
importanteressaltartambémquecadaentradaéidentificadaporumDN(DistinguishedName),quesetratadeumanomeúnicoqueserveparasereferiraumadeterminadaentradanoDiretóriosemproblemasdeambigüidade,porexemplo.
NoLDAP,entradasdeDiretóriosoorganizadasemumahierarquiadeárvoreinvertida,semelhante,emalgunsaspectos,àorganizaodosistemadearquivosUnix,porémcomadiferenaquenaraizestoarmazenadasinformaesdoservidoraoinvésdeumobjeto.
Aestruturadestaárvoregeralmenterefletelimitespolíticos,geográficose/ouorganizacionais.
Onómaisalto(raiz)étipicamenteocomponentenomededomínio(dc)deumpaís,companhiasouorganizaesinternacionais.
Abaixoficamasentradasrepresentandoestadosouorganizaesnacionais.
Abaixoelaspodemserentradasrepresentandopessoas,unidadesorganizacionais,impressoras,documentosouqualqueroutracoisaemquevocêpossaimaginar.
AfiguraabaixomostraumexemplodeumDiretórioLDAPemárvore:Figura3-rvoredeDiretórioLDAPApesardetermosentradasparapaíses,odiretórionopossuiumaentidadecentralizadoracomo,porexemplo,orootdoUnix.
Aseparaoporpaíses,porexemplo,podeserútilparaempresasmultinacionais.
Umaoutravantagemdeumserviodediretórioséqueosramosdaárvorepodemestaremmáquinasdiferentes.
Nocasoacima,aentradadecorcinzapodeestaremumoutrocomputador,porexemplo.
NotequeestacaracterísticatambémétípicadeservidoresDNS.
ComosoorganizadososatributosusandoLDAPSabemosquealgunstiposdeatributosusadosnasentradasemumserviodediretóriosso:mail,cn,telephoneNumbereoutros.
Entretanto,pode-secriarqualqueroutrotipodeatributo,masissonoérecomendado.
NoLDAPexistemdiversasclassesdeobjetosecadaclassecontémumalistadeatributosobrigatórioseopcionais.
EssalistaétipicamentedefinidaemumaRFC,masempresasouorganizaestambémpodemcriarsuasprópriasclasses,senecessário.
Omaisrecomendadoétentarutilizarasclasseseatributosjáexistentes.
Porexemplo,aclasseperson(RFC2256)édefinidadaseguintemaneira:objectclass(2.
5.
6.
6NAME'person'SUPtopSTRUCTURALMUST(sn$cn)MAY(userPassword$telephoneNumber$seeAlso$description))OservidorLDAPpodeserconfiguradoparaverificarasclasses(atravésdaoposchemacheck)eforarousocorretodosatributos.
Isso,geralmente,éumaboaidéia.
Comaverificaodasclasseshabilitada,seráobrigatóriaainserodosatributosobjectClass,snecn,porexemplo.
QuandofordefinidoqueumaentradadoDiretórioédaclasseperson,oatributodescriptionseráopcional.
Entradasemdiretóriospodemterváriasclassesdiferentes,bastaapenasobservarosrequisitosdeatributosdecadaclasse.
EquantoaseguranaeaconsistênciadosdadosOqueoLDAPofereceAlémdetodooserviodeorganizaodeinformaes,oLDAPtambémoferecerecursosparaproteodosdadosquesomanipulados,diferentementedealgunsserviosdediretórioquenofornecemnenhumtipodeproteo,permitindoquequalquerpessoapossainterceptarasinformaes.
OLDAPfornecemétodosparaautenticaodeumclienteouprovasuaidentidadeparaumservidordediretório,protegendoasinformaescontidasnoservidor.
Alémdisso,oLDAPoferecetambémrecursosparaareplicaodedadosemcasodasmesmasseremapagadasoualteradasporintrusos.
UmexemplodeumservidorparaLinuxqueauxiliaoLDAP(maisprecisamenteoSLAPD–servidorquepodeserexecutadoemdiversasplataformas),provendoareplicaodobancodedadoséoSLURPD.
OSLAPDeoSLURPDsecomunicamatravésdeumsimplesarquivotexto,queéutilizadopararegistrarasmudanas.
Asintaxedestearquivolembraumpoucoasintaxedosarquivosresultantesdodiff,nosentidodequeestodescritasasentradasouatributosquedevemserremovidos,adicionadosoumodificados.
EssetipodearquivoéidentificadocomonomedeLDIF.
Emumprocessodereplicaosimples,oclienteinsere,excluioumodificainformaesnoservidorLDAPmaster,queseencarregaderealizarareplicaodosseusdadosemoutrosservidores(osquaisservemsomenteparaoperaesdeconsulta).
Esseprocessodereplicaoocorrecontinuamenteemumdeterminadointervalodetempooupodeacontecerimediatamente,quandoaatualizaodedadosfordealtaprioridadeoucríticaparaoDiretório.
Figura4-UmServiodeDiretórioReplicadocomDadosDistribuídosemTrêsServidoresDoqueécompostooarquivoLDIFOLDAPDataInterchangeFormat(LDIF),citadoanteriormente,correspondeeminglêsa:"Trocadedadosentrediferentesformatos"eébaseadoemumformatodetextopadroutilizadoparadescreverdiretórios,tendosuaestruturadefinidapelaRFC2849.
OsarquivosLDIFpermitemquevocêpossaimportarouexportarosdadosdoseuservidordediretóriocomoutro,semqueosdoisnecessitemutilizarumamesmabasededados.
Comisso,épossíveldistribuirasmaisdiversasinformaescontidasemumservidordediretórioparaoutrosservidoresdediretórioutilizandoapenascomandospadronizados.
AtualmenteexistemdoistiposdiferentesdearquivosLDIF.
Oprimeirotipodescreveumconjuntodeentradasdediretórios(exemploabaixo)queserveparaserdiretamenteagregadoaumDiretório,enquantoqueooutrotipoéumasériedecomandosdeatualizaoquedescrevemasmudanasquedevemseraplicadasaosatributosdasentradasdeumDiretório.
version:1dn:uid=bjensen,ou=people,dc=example,dc=comobjectclass:topobjectclass:personobjectclass:organizationalPersonobjectclass:inetOrgPersoncn:BarbaraJensencn:BabsJensengivenName:Barbarasn:Jensenuid:bjensenmail:bjensen@example.
comtelephoneNumber:+14085551212description:Manager,SwitchingProductsDivisiondn:uid=ssmith,ou=people,dc=example,dc=comobjectclass:topobjectclass:personobjectclass:organizationalPersonobjectclass:inetOrgPersoncn:SteveSmithcn:StephenSmithgivenName:Stephensn:Smithuid:ssmithmail:ssmith@example.
comtelephoneNumber:+16505551212description:MemberofTechnicalStaff.
EquantoaautenticaoOqueoLDAPofereceNoLDAPv1aautenticaoerarealizadademaneirasimples,ouseja,nohavianenhummétododecriptografiaeonomedeusuárioesenhaeramenviadosemformatodetextoconvencional,quepoderiaserinterceptadoporqualqueroutrapessoanomomentodoenvio.
ComoessemétododeautenticaodoLDAPeramuitoindesejável,poisintroduziaumagravevulnerabilidadenoquedizrespeitoàsuasegurana,foidesenvolvidoumanovaversodoprotocolo(LDAPv2)quetemcomosuaprincipalmudanaainclusodosuporteaomecanismoKerberosv4comométododecriptografia.
Porém,oKerberosv4nofoicomercialmenteaceitoefoi,posteriormente,substituídopelaverso5.
Aindaassim,oKerberosnoestavaamplamentedisponívelnosservidoresdoLDAPv2,oquefaziacomqueosclientesadotassemométodobásicodeautenticao,ouseja,no-encriptadoqueeraaceitoportodososservidores.
Tendoissoemvista,foidesenvolvidaumanovaversodoLDAP,oLDAPv3(atual),quetrataaautenticaobaseadanosmodosdecomoosservidoressoacessados:ServidoresLDAPv3públicossomente-leitura–permitemloginannimo,semsenha;Servidorescomautenticaousandosenhas–usamecanismoSASLDIGEST-MD5;Servidorescomautenticaoecriptografiadedados–usaStartTLSparacamadadetransporteseguraecertificadoscomchavespúblicasparaautenticaodeambososlados,proporcionandoautenticidade,integridadeecriptografiadosdados.
Oestabelecimentodeumaconexocliente-servidorLDAPacontece,basicamente,emtrêspassos,ondeocliente:1.
AbreumaconexoTCPcomoservidor;2.
EnviaumaoperaoStartTLS,emqueosprotocolosdecamadamaisbaixanegociamaencriptaoeaautenticaosegundoaespecificaodoTLS;3.
RealizaobindutilizandoummecanismoSASLEXTERNALcasoumcertificadotenhasidofornecidoduranteanegociaoTLS,ououtromecanismoSASLcomooDIGEST-MD5,porexemplo.
EcomosoacessadasasinformaesdesejadasnosdiretóriosusandoLDAPOLDAPpossuitrêstiposdeoperaesquesodefinidasabaixo:OperaesdeInterrogao:searchecompare–permitequevocêfaarequisiesdeconsultaaoDiretório;OperaesdeAtualizao:add,delete,modify,modifyDN(rename)–permitequevocêfaaatualizaesnoDiretório;OperaesdeControleeAuteticao:bind,unbindeabandon–obindpermiteidentificaroclienteenviandocredenciaisdeautenticao(quepodeserumsimplespassword),ounbindserveparaterminarumasessoestabelecidacomoservidoreoabandonserveparaindicarqueoclientenoestámaisinteressadonasrepostasquechegarematéele.
AsoperaesLDAPdeconsultapodemabrangeraárvoretoda(umabuscacomescoposubtree)ouapenasumramo,semdescerousubirparaosdemais.
Alémdeespecificarcomfiltrosquaisentradassedesejaencontrar,tambémépossívelespecificarquaisatributosdestasentradasestosendoprocurados.
Seosatributosnoforemespecificados,todosseroretornados.
Porexemplo,nafigura3nóspoderíamosquererpesquisartodaasub-árvoredediretórioabaixodaentradaDevices,procurandoporimpressorascomonomeLaserPrinter,recuperandoaresoluoparacadaentradaencontrada.
OLDAPpermitequevocêfaaissofacilmente.
ComoocorreatrocademensagensnoprotocoloLDAPComoemqualqueroutroprotocolodecomunicao,oprotocoloLDAPpermiteacomunicaoentredoisservidoresdediretórioouentreoservidoreseusclientesutilizando,paraisso,atrocademensagens.
AtrocademensagensnoprotocoloLDAPconsisteemtrêsestágios:1–AbrindoaConexo2–Fazendoumaoumaispesquisas3–FechandoaconexoNoprimeiroestágio,oclienteLDAPabreumaconexoTCPcomoservidorLDAPutilizandoumarquivotextoencriptadoporTLS,porexemplo.
Ocliente,ento,utilizaalgummétododeautenticao(exemplo:SASL)paraseidentificar,fornecendoasinformaesnecessáriasparaaautenticao(normalmentenomedeusuárioesenha).
Issoéchamadodebinding.
Emalgunscasosaconexonoérealmenteautenticada,masannima,ento,amensagemdebindéenviadasemidentificaodeusuárioesenha.
Apósrealizadoobindeasconsultas,oclientedeveenviarumamensagemdeunbindparaindicarotérminodasesso.
Notequeapenasenviandoumunbind,aconexoaindapermaneceabertaedeveserencerradaposteriormentecomumfechamentodesocketTCP,eosservidorestambémdevemtratarsituaesondenoéenviadoounbindeaconexoéperdidaoupropositalmentefechada.
Umexemplodessatrocademensagensédemonstradonafiguraabaixo:Figura5-Estabelecimentodeconexo,consultaefechamentodeumaconexoLDAPNasegundaetapa,oclienteenviaumamensagemdeconsulta,contendoumDNparacadaconsulta.
Eparacadamensagem,oclientetambémgeraumIDdiferente,oqualoservidorutilizacomoumadasinformaesderesposta,paraqueoclientepossaidentificaraqualrequisiodeconsultaaqueladeterminadarespostacorresponde.
Oservidorrespondeenviandooresultadodapesquisa,comumamensagempordadoencontrado.
Senoforemfornecidosdadosaserempesquisadosousehouveralgumerronapesquisa,oservidorpodenoenviarasinformaessobreasolicitaodesejada.
Porfim,oservidorenviaumamensagemindicandoqueapesquisafoiconcluída(Resultcode)queincluiarelaodosresultadosobtidos,comoémostradoabaixo:Figura6–UmasimplespesquisaLDAPNotequeseoclientetiverenviadoumaoutrasolicitaodepesquisasemaguardarpelafinalizaodaprimeirasolicitao,noháproblemaalgum,poistodasasmensagemsodevidamenteidentificadas,tornandooLDAPumprotocoloaindamaiságilnapesquisadeinformaes,poiscomumamesmaconexoabertapode-serealizarváriasconsultasaoinvésdeterqueabrirumaconexoparacadaconsulta.
ConclusoPercebe-sequeoLDAPpossuiinúmerasáreasondepodeseraplicado,poissetratadeumprotocololevequenoexigemuitosrecursoscomputacionaisepodeserutilizadodesdepequenasempresasatégrandescorporaesparaintegraodeseusinúmerosservios.
Alémdepossuirumagrandeescalabilidade,istoé,podemseradicionadasváriasexpansestantonalinhadeoperaesfuncionaisquantoemcomandosdecontrole,oLDAPaindapossuiváriasopesparaaseguranadedados,poisadota,atualmente,umdosframeworksmaisutilizadoseflexíveisdaInternet(SASL).
Porém,oLDAPdeveserescolhidocomosoluoeprojetadocommuitocuidado,poiselenosetratadeumasubstituiodefinitivaabancosdedadosououtrosservios,comoservidoresFTP,servidoresWEBousistemasdearquivos.
Deve-seanalisarmuitobemquaissoosrequisitosdoservioondesepretendeempregaroLDAP,pois,talvez,essanosejaamelhorsoluo.
Podeatéfuncionar,masnocomumaeficiênciasatisfatória.
Bibliografia:TimothyA.
Howes-Ph.
D.
,MarkC.
Smith,GordonS.
Good–UnderstandingandDeployingLDAPDirectoryServices,SecondEdition–2003–Ed.
AddisonWesleyProfessional.
LightweightDirectoryAccessProtocol–Wikipediahttp://en.
wikipedia.
org/wiki/Lightweight_Directory_Access_ProtocolUnderstandingLDAP-IBMredbookhttp://www.
redbooks.
ibm.
com/pubs/pdfs/redbooks/sg244986.
pdfSysAdminGuideforDirectoryServicesftp://docs-pdf.
sun.
com/816-4856/816-4856.
pdfIntroductiontoOpenLDAPDirectoryhttp://www.
openldap.
org/doc/admin21/intro.
html