Открытый каталог Apple
Apple Open Directory — это LDAP реализация модели службы каталогов от Apple Inc. Служба каталогов — это программное обеспечение , которое хранит и систематизирует информацию о пользователях и сетевых ресурсах компьютерной сети и позволяет сетевым администраторам управлять доступом пользователей к ресурсам.
В контексте macOS Server Open Directory описывает общий домен каталогов LDAPv3 и соответствующую модель аутентификации, состоящую из Apple Password Server и Kerberos 5, связанных вместе с помощью модульной системы служб каталогов. Apple Open Directory — ответвление OpenLDAP это .
Термин «Открытый каталог» также можно использовать для описания всей структуры служб каталогов, используемой macOS и macOS Server. В этом контексте он описывает роль системы macOS или macOS Server, когда она подключена к существующему домену каталогов, в этом контексте ее иногда называют службами каталогов .
Apple, Inc. также публикует API под названием OpenDirectory framework, позволяющий приложениям macOS запрашивать и редактировать данные Open Directory. [1]
С выпуском Mac OS X Leopard (10.5) Apple решила отказаться от использования службы каталогов NetInfo (первоначально встречавшейся в NeXTSTEP и OPENSTEP ), которая использовалась по умолчанию для всех локальных учетных записей и групп в каждом выпуске Mac OS. Х от 10,0 до 10,4. Mac OS X 10.5 теперь использует службы каталогов и их плагины для всей информации каталогов. Локальные учетные записи теперь регистрируются в локальном плагине, который использует списка свойств XML (plist), хранящиеся в файлы /var/db/dslocal/nodes/Default/ в качестве резервного хранилища. [2]
Реализация на сервере macOS
[ редактировать ]Сервер macOS может размещать домен Open Directory , если он настроен в качестве мастера Open Directory . Помимо локального каталога, этот домен LDAPv3 на основе OpenLDAP предназначен для хранения данных централизованного управления, учетных записей пользователей, групп и компьютеров, к которым могут получить доступ другие системы. Домен каталога связан с сервером паролей Open Directory и, при необходимости, с областью Kerberos. Либо обеспечивает модель аутентификации и хранит информацию о пароле вне самого домена каталога. [3]
Для аутентификации Kerberos область Kerberos может либо размещаться в центре распространения ключей Kerberos (KDC), работающем в серверной системе, либо сервер может участвовать в существующей области Kerberos.
Для служб, не использующих Kerberized, сервер паролей предоставляет следующие простой аутентификации и уровня безопасности : методы аутентификации на основе [4]
- АПОП
- CRAM-MD5
- Обмен ключами Диффи-Хеллмана
- Дайджест-МД5
- MS-CHAPv2
- NTLM v1 и v2
- Лан-менеджер
- WebDAV-дайджест
Любая серверная система Mac OS X до версии 10.7 (Lion), настроенная как мастер Active Directory, может выступать в качестве основного контроллера домена Windows (PDC), предоставляя услуги проверки подлинности домена клиентам Microsoft Windows . [5]
Структура служб каталогов
[ редактировать ]В более общем смысле Open Directory может описывать модель плагинов, используемую Directory Utility , и структуру служб каталогов в macOS и macOS Server. Это можно рассматривать как аналог систем переключения службы имен некоторых других Unix-подобных операционных систем . При подключении к системе каталогов клиент или сервер macOS может аутентифицировать пользователей, искать контакты, выполнять обнаружение служб и разрешение имен со следующими типами каталогов: [6]
- Аутентификация и контакты
- Microsoft Active Directory
- LDAPv3 , включая домен Open Directory или систему, совместимую с RFC 2307.
- Apple/NeXT NetInfo Домены
- Плоские файлы BSD и NIS
- Обнаружение служб и разрешение имен
История
[ редактировать ]Open Directory появился в Mac OS X Server 10.2. В этой первоначальной форме Open Directory состоял из видимого в сети домена каталога NetInfo и соответствующей службы диспетчера аутентификации для хранения паролей вне каталога. Версия 10.2 также включала поддержку Kerberos. [7] Mac OS X версий 10.1 и 10.0 хранила информацию о паролях пользователей в домене каталога с использованием органов аутентификации паролей шифрования, но версия 10.2 проложила путь для текущих механизмов теневого хэша и сервера паролей. [8]
Сервер паролей является преемником диспетчера аутентификации и был представлен в Open Directory 2 в Mac OS X Server 10.3. Open Directory 2 также была первой версией, использовавшей LDAPv3 в качестве домена каталога.
Mac OS X Server 10.4 включает Open Directory 3, в котором реализована поддержка членов домена Active Directory, привязка доверенных каталогов и повышена надежность. [9]
Mac OS X Server 10.5 оснащен Open Directory 4 с поддержкой междоменной авторизации и встроенным RADIUS- сервером для управления AirPort . базовыми станциями [10] Open Directory 4 больше не включает элементы NetInfo. [11]
Посмотреть больше
[ редактировать ]Ссылки
[ редактировать ]- ^ «Примечания к выпуску OpenDirectory на сайте Developer.apple.com» . Проверено 21 апреля 2010 г.
- ^ «Исходный код службы каталогов на www.opensource.apple.com» . Проверено 2 сентября 2009 г.
- ^ «Сервер Mac OS X: администрирование открытого каталога, страница 40» (PDF) . Архивировано из оригинала (PDF) 15 марта 2007 г. Проверено 7 июня 2007 г.
- ^ «Сервер Mac OS X: администрирование открытого каталога, страница 50» (PDF) . Архивировано из оригинала (PDF) 15 марта 2007 г. Проверено 7 июня 2007 г.
- ^ «Справка администратора сервера 10.4: настройка сервера в качестве основного контроллера домена» . Проверено 7 июня 2007 г.
- ^ «Сервер Mac OS X: администрирование открытых каталогов, глава 7» (PDF) . Архивировано из оригинала (PDF) 15 марта 2007 г. Проверено 7 июня 2007 г.
- ^ «Apple — Mac OS X Server 10.2: как интегрировать службы с Kerberos» . Архивировано из оригинала 18 февраля 2008 г. Проверено 8 июня 2007 г.
- ^ «Сервер Mac OS X: администрирование открытого каталога, страница 41» (PDF) . Архивировано из оригинала (PDF) 15 марта 2007 г. Проверено 8 июня 2007 г.
- ^ «Apple — Mac OS X Server — Открытый каталог» . Проверено 8 июня 2007 г.
- ^ «Apple — Mac OS X Server — Технология — Открытый каталог» . Проверено 21 декабря 2007 г.
- ^ «AFP548 — Сервер Leopard, часть 2 — Службы локальных каталогов» . Архивировано из оригинала 15 апреля 2009 г. Проверено 21 декабря 2007 г.