以华东师范大学图书馆为例,针对特定的需求,系统采用LDAP代理方式对其数据进行组织,其认证源目录树结构如图2所示。

图2

	Figure Option ViewDownloadNew Window
	图2 华东师范大学图书馆LDAP目录树结构

图2中的认证源1为校级LDAP人员信息数据库,它包含了学校的院系所以及图书馆的受信任的人员信息,代表了通常意义上的LDAP目录树结构。认证源2包含了不受校级人员信息数据库信任的、只能访问图书馆应用的人员信息（包括上述第一种需求的人员,保持其原有图书馆系统中的ID不变,而第二种需求人员可以根据人员命名规则直接包含在此,由图书馆自行负责人员信息的增、删、改管理,不受校级认证源限制）。因为代理LDAP服务器架构在图书馆应用之上,因此由LDAP代理服务器约定了认证源1和认证源2相互信任的关系为：任何一个通过认证源1或认证源2的用户都可以访问图书馆应用。而图书馆应用的第三个特殊需求,正是通过代理功能整合认证源1和认证源2成为一个逻辑整体来满足,同时实现了第4种需求的单一认证入口。

LDAP协议对目录操作共有4类：查询类操作、更新类操作、认证类操作、其他类操作^{[ 3]}。应用程序正是利用LDAP认证类操作的绑定（Bind）技术来实现身份认证的,其标准的认证过程描述为：应用程序首先通过一个给定账户或匿名绑定到LDAP服务器,然后利用待认证用户ID（该用户ID所对应的属性应该在LDAP目录中具备唯一的属性值）获取对应条目的DN,再使用该DN与用户提交的密码进行一次LDAP绑定操作,绑定的前提是LDAP目录条目具备用户密码属性（UserPassword）,如果绑定成功,则认证通过,否则认证失败。

为了保证身份认证在客户端和LDAP服务器之间的会话安全,OpenLDAP利用其支持SSL/TLS、Kerberos、SASL （Simple Authentication and Secure Layer） 等安全机制,可根据需要选择不同的会话安全级别。在学校的应用环境中,图书馆的应用服务和LDAP服务器往往作为网络的二级节点,设备布局在具有防火墙的局域网内,因此也可以使用默认的明文认证。若需要实现加密认证,在各应用系统认证接口上采用SSL/TLS 即可以实现,但在并发认证用户数量较大时,加密这些信息可能会占用一定的系统资源。

通过LDAP代理服务器实现多认证源统一身份认证的流程如图3所示：

图3

	Figure Option ViewDownloadNew Window
	图3 LDAP代理服务器实现多认证源统一身份认证流程

以用户ID为“18791201”为例,其认证过程如下：当用户发起一个应用系统请求时,通过①提交用户ID和密码请求服务,应用服务收到请求后转入认证过程②,认证模块匿名绑定到LDAP代理服务器,以dc=proxy为Search Base,查找uid为用户提交ID的条目,代理服务器在收到查询请求后依据配置顺序,将虚拟Search Base转换成真实Search Base对被代理服务器进行查询。代理服务器将依次查询两个认证源,任何一个通过后将结束查询并返回命中信息,若两个认证源均不通过将返回未命中信息,并将查询结果返回给认证模块,若未命中则转入⑤认证未通过;若命中则以命中条目DN（如uid=18791201,dc=proxy）和用户提交的密码绑定代理服务器,则转入④认证通过。

LDAP只是一个协议,它不涉及到如何存储信息,因此还需要一个后端数据库支持来实现数据存储。使用开源Berkeley DB 后端BDB配置本地DIT,用于存储本地用户信息。

（1）配置本地目录信息树,主要是根据信息（o=libpri）,利用Berkeley DB来实际存储数据,编辑slapd．conf文件：

＃使用bdb实现存储本地数据

database bdb

＃定义该数据库存储的目录信息树的根

suffix ＂o=libpri＂

＃定义该目录信息树的管理员用户和密码

rootdn ＂cn=admin,o=libpri＂

rootpw {SSHA}ae8oHRG09b+Fzx897wHfgIbqzCHMa0Wh

＃指定数据存储目录（以本馆为例）

directory /data/openldap

＃索引设定

index objectClass eq

（2）编辑文本文件init．ldif,添加根条目：

dn：o=libpri

objectclass：top

objectclass：organization

o：libpri

（3）使用ldapadd命令添加根条目

ldapadd -x -D＂cn=admin,o=libpri＂ -W -f init．ldif

本地用户信息可使用上述方式加入,也可以使用后面介绍的编程方式由用户提交。

通常,LDAP后端只能代理一个LDAP服务器,这种代理方式不能满足需求,因此选择Metadirectory后端来实现代理多个LDAP服务器。为了节省硬件开支,通过将LDAP代理服务器和存储本地用户信息的LDAP服务器配置为两个后端,实现了将两者构建在同一台物理服务器上。

编辑slapd．conf,配置本地LDAP代理服务器：

＃定义Meta 后端

database meta

＃定义LDAP代理服务器的Suffix,以此为Search Base的查询都通过此后端执行

suffix ＂dc=proxy＂

＃定义LDAP代理后端的管理员用户和密码

rootdn ＂cn=admin,dc=proxy ＂

rootpw {SSHA}ae8oHRG09b+Fzx897wHfgIbqzCHMa0Wh

＃代理的第一个服务器（校级LDAP的IP地址）及其虚拟Search Base

uri ldap：//111．111．111．111/dc=proxy

＃将虚拟Search Base转化成真实的Search Base

suffixmassage ＂dc=proxy＂ ＂o=ecnu＂

＃代理的第二台服务器（本地LDAP的IP地址）

uri ldap：//122．122．122．122/dc=proxy

＃将虚拟Search Base转化成真实的Search Base

suffixmassage ＂dc=proxy＂ ＂o=libpri＂

通过上述配置,实现了对校级和本地LDAP目录服务的代理,suffixmassage指令将针对代理服务器的Search Base转换成被代理服务器的实际Search Base,提供了对被代理目录服务的透明查询。

这种客户端的应用开发方法,方便用户以Web方式操作本地LDAP服务器中的数据,如修改密码等,它主要利用了LDAP具有对多应用编程语言接口的支持能力（LDAP API）,以客户端编程方式实现本地用户数据操作,用户可以轻松实现自己的特定需求。仅以向本地存储用户数据的目录信息树添加人员信息条目为例,介绍基于PHP的编程算法。至于在添加临时用户信息的过程控制环节,如分别对多个认证源查重以及身份确认等细节,每个机构有其特殊规定,因不具有普遍性,在此不再详细介绍。

主要程序片段如下：

//连接LDAP服务器

＄con = ldap_connect（＂122．122．122．122＂）;

//以管理员身份绑定到LDAP服务器

ldap_bind（＄con, ＂cn=admin,o=libpri＂, ＂password＂）;

//构造条目

＄dn = ＂uid=＂．＄ID．＂,o=libpri＂;

＄attributes = array（

＂objectclass＂ =>array（

0 =>＂top＂,1 =>＂person＂,2 =>＂uidObject＂）,

＂uid＂ =>＄ID,

＂sn＂ =>＂Surname＂,

＂cn＂ =>＂Common Name＂,

＂userPassword＂ =>＄password）;

//添加条目

ldap_add（＄con, ＄dn, ＄attributes））