Информационное дерево каталога

Дерево информации каталога ( DIT ) — это данные, представленные в иерархической древовидной структуре, состоящей из отличительных имен (DN) записей службы каталогов .

И протоколы X.500 , и облегченный протокол доступа к каталогам (LDAP) используют деревья информации о каталогах в качестве своей фундаментальной структуры данных.

Обычно развертывание X.500 или LDAP для одной организации имеет дерево информации каталога, состоящее из двух частей:

• структура имени верхнего уровня для названия самой организации
• представление структуры модели данных внутри организации

Именование верхнего уровня

Верхний уровень информационного дерева каталогов часто представляет политические и географические подразделения.

Первоначальное предположение X.500 заключалось в том, что все серверы каталогов будут связаны между собой и образуют единое глобальное пространство имен . Записи на верхнем уровне дерева соответствовали странам, обозначенным ISO 3166 двухбуквенным кодом страны . Записи, подчиненные записи о стране, будут соответствовать штатам или провинциям, а также национальным организациям. Система именования для конкретной страны определялась национальным органом по стандартизации этой страны или поставщиком телекоммуникационных услуг.

Ограничением исходной древовидной структуры информации каталога было предположение, что приложения, ищущие запись в конкретной организации, будут перемещаться по дереву каталогов, сначала просматривая конкретную страну, в которой базируется эта организация, затем регион, в котором базируется эта организация. затем найдите запись для самой организации, а затем выполните поиск в этой организации соответствующей записи. Желание поддержать более широкий поиск отдельного человека, когда все подробности о местоположении или организации этого человека не были известны, привело к экспериментам по развертыванию и взаимосвязи каталогов, таким как Common Indexing Protocol .

Сегодня большинство развертываний LDAP, и в частности развертываний Active Directory , не связаны в единое глобальное пространство имен и не используют национальные коды стран в качестве основы для именования. Вместо этого эти развертывания следуют структуре каталогов, которая на верхнем уровне отражает структуру системы доменных имен , как описано в RFC 2247. Например, запись для организации с доменным именем «example.com» будет иметь отличительное имя dc=example, dc=com, и все записи в информационном дереве каталога этой организации будут содержать этот суффикс отличительного имени.

Организационная структура

Элементы организации, представленные в каталоге (например, люди, роли или устройства) в DIT, могут моделироваться различными методами. К определяющим факторам относятся:

• требования приложений, которые будут искать и обновлять каталог
• требование предоставления уникального имени для каждой записи
• стремление к стабильности структуры каталогов
• стремление к удобочитаемости отличительных имен записей в каталоге.
• простота импорта данных в каталог из существующих баз данных и других каталогов

Ранние развертывания X.500 внутри корпораций и учреждений с записями, представляющими сотрудников этих организаций, часто использовали структуру DIT, которая отражала организационную структуру, с записями о подразделениях, соответствующими отделам или подразделениям организации. Относительные отличительные имена записей для сотрудников часто формировались из общих имен отдельных сотрудников. Примером DN раннего развертывания X.500/LDAP может быть: cn=Joe Bloggs,ou=Marketing,ou=Operations,o=Example Corporation,st=CA,c=US. Недостатком этого подхода является то, что при изменении организационной структуры или если сотрудники меняют свое официальное имя, может потребоваться перемещение или переименование записей в каталоге, что увеличивает сложность и накладные расходы, а также может нарушить работу приложений, не предназначенных для работы с изящно с такими движениями.

Сегодня во многих крупных развертываниях X.500 или LDAP используется одно плоское пространство имен для записей и выбираются имена записей для отдельных лиц на основе относительного отличительного имени, которое является идентификатором, присвоенным организацией, например, именем пользователя или сотрудника. число. Сегодня DN может напоминать uid=00003,ou=People,dc=example,dc=com. Преимущество этой структуры заключается в том, что записи не нужно перемещать, даже если сотрудники меняют свое имя или переводятся в другие отделы. Эти изменения могут быть осуществлены путем простой модификации атрибута, и приложения, которые могут использовать DN в качестве уникального идентификатора (например, в базе данных), не нужно трогать.