LDAP屬於輕量級目錄訪問協定（Light Directory Access Protocol），1993年批准的協定群組，包括RFC2251－LDAP V3協定核心協定，定義了LDAP V3協定的基本模型和操作。
基本介紹
- 中文名：輕量級目錄訪問協定
- 外文名：Light Directory Access Protocol
- 縮寫：LDAP
- 批准時間：1993年
基本信息,定義,模型,
基本信息
LDAP協定
LDAP全稱為Light Directory Access Protocol，輕量級目錄訪問協定，LDAP協定從1993年批准，有了V1版本，1997年發布了第三個版本LDAP v3，使得LDAP協定不僅僅做為X.500的簡化版，同時提供了LDAP協定許多自有功能特性，LDAP V3協定也不是一個單一的協定，而是一個協定群組，包括內容如下：
RFC2251－LDAP V3協定核心協定，定義了LDAP V3協定的基本模型和操作；
定義
RFC2252－定義了LDAP V3基本數據模式(Schema)以及標準的系統數據模式,Schema包括語法、匹配規則、屬性類型和對象類；
RFC2253－定義了LDAP V3中的分辨名(Differentiate Name, DN)表達方式；
RFC2254－定義了LDAP V3中過濾器的表達方式；
RFC2255－定義了LDAP V3中統一資源地址格式；
RFC2256－定義了在LDAP V3中使用X.500的Schema列表；
RFC2829－定義了LDAP V3的認證方式；
RFC2830－定義了LDAP V3如何通過擴展使用TLS服務；
RFC1823－定義了C的關於LDAP V3客戶端開發接口；
RFC2847－定義了LDAP數據導入、導出的檔案接口LDIF；
在這些協定中，主要定義了LDAP的內容，同時定義了信息模型，確定了LDAP目錄中所存儲的信息的格式和字元集，如何表示目錄信息（定義對象類、屬性、匹配規則和語法等模式）。
一個命名空間：確定對信息進行的組織方式即就是目錄信息樹DIT，以DN和RDN為基礎的命名方式，以及LDAP信息的Internet表示方式；
模型
一個安全框架：保證目錄中信息的安全，匿名、用戶名/密碼、SASL等多種認證方式以及與TLS結合的通訊保護框架；
一個操作模型：分散式的操作模型，基於Referral方式的分散式操作框架；
一個LDAP擴展框架：基於控制和擴展操作的LDAP擴展框架 。
LDAP的基本模型
信息模型：用來描述LDAP中信息的表達方式。
在LDAP中信息以樹狀形式組織，在樹狀信息中基本的信息單元是條目，而每個條目有屬性組成，屬性中存儲有屬性的值；LDAP中的信息模式，類似於面向對象的概念，在LDAP中每條目必有屬於某個或者多個對象類（Object Class）,每個Object Class由多個屬性類型組成，每個屬性類型有所對應的語法和匹配規則；對象類和屬性類型的定義均可以使用繼承的概念。每個條目創建時，必須定義所屬的對象類，必須提供對象類中的必選屬性類型的屬性值，在LDAP中一個屬性類型可以對應多個值。
在LDAP中把對象類、屬性類型、語法和匹配規則統稱為Schema，在LDAP中有許多系統對象類、屬性類型、語法和匹配規則，這些系統 Schema在LDAP標準中進行了規定，同時不同的套用領域也定義了自己的Schema，同時用戶在套用時，也可以根據需要自定義 Schema。這有些類似於XML，除了XML標準中的XML定義外，每個行業都有自己標準的DTD或DOM定義，用戶也可以自擴展；也如同XML，在 LDAP中也鼓勵用戶儘量使用標準的Schema，以增強信息的互聯互通。
在Schema中最難理解的是匹配規則，這是LDAP中為了加快查詢的速度，針對不同的數據類型，可以提供不同的匹配方法，如針對字元串類型的相等、模糊、大於小於均提供自己的匹配規則。
命名模型：描述LDAP中的數據如何組織 LDAP中的命名模型，也即LDAP中的條目定位方式。在LDAP中每個條目均有自己的DN和RDN。DN是該條目在整個樹中的唯一名稱標識，RDN是條目在父節點下的唯一名稱標識，如同檔案系統中，帶路徑的檔案名稱就是DN，檔案名稱就是RDN。
功能模型：描述LDAP中的數據操作訪問
在LDAP中共有四類10種操作：查詢類操作，如搜尋、比較；更新類操作，如添加條目、刪除條目、修改條目、修改條目名；認證類操作，如綁定、解綁定；其它操作，如放棄和擴展操作。除了擴展操作，另外9種是LDAP的標準操作；擴展操作是LDAP中為了增加新的功能，提供的一種標準的擴展框架，當前已經成為LDAP標準的擴展操作，有修改密碼和StartTLS擴展，在新的RFC標準和草案中正在增加一些新的擴展操作，不同的 LDAP廠商也均定義了自己的擴展操作。
安全模型：描述LDAP中的安全機制
LDAP中的安全模型主要通過身份認證、安全通道和訪問控制來實現。
身份認證在LDAP中提供三種認證機制，即匿名、基本認證和SASL（Simple Authentication and Secure Layer）認證。匿名認證即不對用戶進行認證，該方法僅對完全公開的方式適用；基本認證均是通過用戶名和密碼進行身份識別，又分為簡單密碼和摘要密碼認證；SASL認證即LDAP提供的在SSL和TLS安全通道基礎上進行的身份認證，包括數字證書的認證。
通訊安全在LDAP中提供了基於SSL/TLS的通訊安全保障。SSL/TLS是基於PKI信息安全技術，是目前Internet上廣泛採用的安全服務。LDAP 通過StartTLS方式啟動TLS服務，可以提供通訊中的數據保密性、完整性保護；通過強制客戶端證書認證的TLS服務，同時可以實現對客戶端身份和伺服器端身份的雙向驗證。
