7.1.2 目录服务标准：X.500和LDAP

7.1.2  目录服务标准：X.500和LDAP
目录服务的两个国际标准是X.500和LDAP。X.500包括了从X.501到X.509等一系列目录数据服务，已经被作为提供全球范围的目录服务的一种国际标准。而LDAP是基于TCP/IP协议的目录访问协议，是Internet上目录服务的通用访问协议。
X.500是国际电联定义的目录标准，它包括了一系列完整的目录数据服务。用于X.500客户机与服务器通信的协议是DAP（Directory Access Protocol）。X.500为网络用户提供分布式目录服务。它定义一个机构如何在一个企业的全局范围内共享名字和与它们相关的对象。X.500规定总体命名方式，全球统一的名字空间，一个完整的X.500系统称为一个目录。这个目录是一个数据库，称为目录信息数据库（DIB）。X.500是层次性的，所有对象被组织成树形结构，模仿一个机构的组织形式。X.500目录服务还能够实现身份认证、访问控制。它被公认为是实现一个目录服务的最好途径，但是它的实现需要很大投资，效率不高，在实际应用中存在着不少障碍。DAP对相关层协议环境要求过多，在许多小系统上无法使用，也不适应TCP/IP协议体系。鉴于此，出现了DAP的简化版LDAP。
LDAP（Lightweight Directory Access Protocol）的目的很明确，就是要简化X.500目录的复杂度以降低开发成本，同时适应Internet的需要。LDAP已经成为目录服务的标准，它比X.500 DAP协议更为简单实用，而且可以根据需要定制，因而实际应用也更为广泛。与X.500不同，LDAP支持TCP/IP协议，这对访问Internet是必需的。X.500采用公钥基础结构（PKI）作为主要的认证方式，而LDAP最初并不考虑安全问题，目前已增加安全机制。为保证数据访问安全，可使用LDAP的ACL（访问控制列表）来控制对数据读和写的权限。LDAP目前有两个版本：第2版LDAP v2和第3版LDAP v3。基于LDAP v3的服务器可以让普通用户使用支持LDAP功能的Web浏览器，进行有关电子邮件用户的查询，可以查询的用户属性包括姓名、电话号码、电子邮件地址和地址信息等；系统管理员可以通过LDAP客户程序远程进行目录管理操作，如添加、删除和修改用户账户信息等；可以请求服务器执行扩展操作。