《Linux/UNIX OpenLDAP实战指南》——1.4 OpenLDAP目录条目概述

本节书摘来自异步社区《linux/unix openldap实战指南》一书中的第1章，第1.4节，作者：郭大勇著，更多章节内容可以访问云栖社区“异步社区”公众号查看

1.4.1　objectclass分类

objectclass类通常分三类：结构型、辅助型、抽象型。

结构型（structural）：如person和organizationunit。

辅助型（auxiliary）：如extensibleobject。

抽象型（abstract）：如top，抽象型的objectclass不能直接使用。

1.4.2　openldap常见的objectclass

openldap常见的objectclass类如下所示。

alias

applicationentity

dsa

applicationprocess

bootabledevice

certificationauthority

certificationauthority-v2

country

crldistributionpoint

dcobject

device

dmd

domain

domainnameform

extensibleobject

groupofnames

groupofuniquenames

ieee802device

iphost

ipnetwork

ipprotocol

ipservice

locality

dclocalitynameform

nismap

nisnetgroup

nisobject

oncrpc

organization

dcorganizationnameform

organizationalrole

organizationalunit

dcorganizationalunitnameform

person

organizationalperson

inetorgperson

uidorganizationalpersonnameform

residentialperson

posixaccount

posixgroup

shadowaccount

strongauthenticationuser

uidobject

usersecurityinformation

如上对象类由openldap官方所提供，以满足大部分企业的需求，openldap还支持系统所提供的对象类，例如sudo、samba等。后续章节将对企业中常用的对象类进行阐述并通过案例演示其实现过程，让读者熟悉其原理及实现过程。

当openldap官方以及系统提供的对象类无法满足企业的特殊需求时，读者可根据openldap schema内部结构制定schema规范并生成对象类，来满足当前需求。

1.4.3　objectclass详解

在openldap目录树中，每个条目必须包含一个属于自身条件的对象类，然后再定义其条目属性及对应的值。

openldap条目的属性能否添加取决于条目所继承的objectclass是否包含此属性。objectclass具有继承关系，也就是说，条目添加的属性最终取决于自身所继承的所有objectclass的集合。如果所添加的属性不在objectclass范围内，此时目录服务器不允许添加此属性。如果要添加，就必须添加schema文件产生objectclass所对应的属性。objectclass和attribute由schema文件来规定，存放在/etc/openldap/schema目录下，schema文件规范objectclass的构成以及属性和值在目录树中的对应关系。后面章节会介绍如何通过定义schema文件来产生objectclass，从而生成所需要的属性。

每一个属性和值将用作每个条目在目录树中存储信息的标准，例如能包含哪些属性信息。对于objectclass的理解，读者可以将objectclass的属性值理解为一种模板。模板定义哪些信息可以存取，哪些信息不可以存储在目录树中。

1.4.4　objectclass案例分析

下面给出两个对象类案例分析示例。

objectclass案例分析示例1

所有的objectclass定义都存放在/etc/openldap/schema/*.schema文件中。例如，person属性的定义就存放在core.schema文件中。

分析：

如果要定义person类型，需要定义顶级为top，并且必须定义sn和cn两个属性，还可以附加userpassword、telephonenumber、seealso、description 4个属性值。邮件地址、国家等属性不可以定义，除非读者添加相关的objectclass条目，否则提示相关属性不允许添加。

对于此案例，如果要定义top属性，必须定义一个objectclass属性。因为此案例中还定义了person属性，所以要必须定义sn和cn属性，以及可以附加的属性（userpassword、telephonenumber、seealso、description）。此案例中必须要定义的有3个属性分别是objectclass、sn以及cn。通过此案例下一级的objectclass可以继承上一级objectclass的属性信息。

注：

根据定义，对于不同的objectclass，属性的相关信息也不同。希望通过上面两个案例的介绍，能让读者了解objectclass的含义以及属性的含义。