Adresářové služby (diskuse)

[camlost]

Zdravim. Da se v LDAPu vyhledat atribut, jehoz hodnota je "CN=retezec"? Nejak se mi nedari to spravne zapsat. :-/ Priklad: (attribut="CN=camlost*")

[Lukáš Cirkva]

Vyhledání pod nejmocnějším uživatelem:

ldapsearch -D "cn=Directory manager" -w heslo -b "dc=example,dc=cz" cn=user*

Výstup, kdy mám několik uživatelů s cn=user*. přidávám částečný výpis jednoho ze záznamů. Vypíší se samozřejmě všechny, na které mám pravomoce.

version: 1
dn: uid=user1,ou=People,o=ABC,o=VISDomainsRoot,o=Business,dc=example,dc=cz
sn: tester
cn: user1 tester
uid: user1
...

Takovéto příklady i s podrobnějším popisem budou v přístím článku.

[trancelius]

s/Three/Tree/ (v sekci "LDAP ve zkratce") ... "Three" je spíš číslovka :)

[Leoš Literák]

dik

[Yin]

Budem stručný! Vlastnosti článku - forma: vynikajúca; obsah: priveľmi faktografický.

Kritika - Pre človeka, ktorý o LDAP nepočul je to nezrozumiteľné. Pre človeka, ktorý o LDAP počul referenčná príručka. Tento článok s kómy nikoho nedostane, ale inak je veľmi užitočný.

[Pet]

Bohuzel se musim pridat. Pred prectenim clanku jsem tusil, co to je LDAP. Prvni polovina me tuseni potvrdila. Druha polovina je vsak naprosto nesrozumitelna a tak doufam, ze "zahadne modlidby" vyskytujici se zde budou vysvetleny v dalsich dilech.

[Martin Beránek]

je to presne tak... o ldapu jsem nejake tuseni mel... kdybych nemel, nevim jestli bych pochopil

[Rozik]

Myslím si, že to autor nerozvrhl špatně. Je pravdou, že jsem si při čtení říkal, že zřejmě vynechal kus podstatného textu, ale po přečtení závěru mě uklidnil.
Seznámení s LDAP je krátké, srozumitelné a výstižné. Poté nám dal najevo, že práce s LDAP nebude peříčko, načež nás v závěru uklidnil, že nám ukáže, jak na to
Osobně jsem moc rád, že se někdo pustil na článek o LDAP. Držím palce, ať se vydaří další díly článku, a zároveň pevně věřím, že se článek stane dobrým pomocníkem při začínání s LDAP!

[Marek Turnovec]

No, pokud to dotaženo v dalších dílech, budu rád, ale z tohoto článku taky moc moudrý nejsem. Buď to měl nechat v obecné rovinně a nedávat tam ty příklady a nechat si to na příště (a teď se rozepsat, k čemu se to dá využít - a hlavně proč - proč je třeba uživatele lepší mít v LDAP a ne v /etc/passwd), nebo ty příklady měl rovnou i vysvětlovat - co je co - že jsou nějaké atributy etc.

[Valoun]

Potvrzuji. I když jsem se LDAPem zabýval cca 3 týdny ve snaze jej co nejlépe pochopit z různých článků, návodů a dokumentací, tak druhá polovina tohole článku zní jak španělská vesnice. Poznám, že se jedná o LDAP, ale řeči absolutně nerozumím.

[vosa]

Musim rict ze ac do diskuzi normalne prilis neprispivam, tak tento clanek mi neda. Pripada mi skoda, ze autor i kdyz pouziva JES DS nevyzdvihuje hlavni vyhody LDAPu jako takoveho. Konkretne moznosti automatizovanych operaci a tvorby workflow pomoci roli a class-of-service, pluginu a procesu, ktera je jiz leta standardem prave v JES DS uz od dob kdy byl znam spis jako iPlanet DS. Tato funcionalita se dnes dostava pomoci ruznych nastaveb i do OpenLdap. Implementaci LDAPu a Adresarovych sluzeb obecne se zabyvam uz nekolik let a musim rict, ze se mi jeste nestalo, ze by nejaka implementace byla omezena "pouze" na data o uzivatelich popr. nekterych sluzbach. Vetsinou se jedna o prostredek ktery ridi chovani aplikaci a celych systemu na ruznych urovnich. V mnoha pripadech dokonce s uspechem nahrazuje prave databaze. Vrele doporucuji prozkoumat zminovane nastavby - konkretne implementacni dokumentaci k Identity Manageru a podobnym produktum od SUN nebo jejich pripadove studie, ktere daleko lepe popisuji moznosti nasazeni LDAPu jako takoveho velmi srozumitelne. Myslim ze toto by bylo docela zajimave tema na serial clanku.

[Lukáš Cirkva]

Plně s Vámi souhlasím, ale to o čem píšete by vydalo minimálně na celý článek, ostatně jako kterýkoliv z bodů o LDAPu.

Dokonce mám něco o CoS a rolích sepsáno, ale je to tak konkrétní, byť velmi zajímavá věc, že jsem ji zde nakonec nezveřejnil. Až vyjde celý seriál, plácnu celý dokument i s nepublikovanámi částmi na svůj web.

[Karel Benák]

To co popisujete a vrele doporucujete je silne implementacne zavisla vec ktera zatim neni definovana ve standardech. Ve sve podstate bych LDAP prirovnal k dalsimu moznemu datasource nad kterym je potreba pouzit dalsi vrstvy. Co je asi stale malo zduraznovane (vsude, nejen v tomto clanku) je to, ze LDAP je standard nejen pro prenos, ale i pro schemata ulozenych informaci, ovsem ne vsechna data jsou pro ulozeni v LDAPu vhodna. Je potreba zduraznit, ze to nejsou data transakcniho charakteru, napr. platby, naopak pro data nutna k overeni identity uzivatele je LDAP velmi vhodne reseni.

[cervajs]

velice vitam clanek o LDAP chystam se jej nasadit pro overovani samby i nahrazeni /etc/passwd

uvital bych nejaky tutorial, ktery takovou konfiguraci provede

k clanku:

• chybi odkazy
• je to strohe a jako uvod mne to prijde prilis heslovite, cekal bych spis vypichnuti vyhod
• ke klientum pridam www.jxplorer.org
• k dispozici je nove Fedora/Redhat Directory server (puvodni netscape - http://directory.fedora.redhat.com/wiki/Main_Page ) uvital bych v ramci serialu nejake porovnani treba

[Lukáš Cirkva]

velice vitam clanek o LDAP chystam se jej nasadit pro overovani samby i nahrazeni /etc/passwd

S OpenLDAP se jedná o relativně snadnou věc, směle do toho. Výstupní manuál bude jistě žádán.

k clanku:
- chybi odkazy

Odkazy jsou v odkazech, respektive odkazované zdroje obsahují hromadu odkazů na RFC, manuály, články atd. Ale kritiku přijímán, přidám odkazy na zajímavé věci, nejen na zdoje čerpání informací pro článek.

- je to strohe a jako uvod mne to prijde prilis heslovite, cekal bych spis vypichnuti vyhod

Výpichování výhod je věnována celá podkapitola, což je rozsahu článku IMHO odpovídající.

- ke klientum pridam www.jxplorer.org

Ano vím, byl jsem upozorněn těsně před vydáním. Do seznamu odkazů jsem tento kvalitní SW již přidal alespoň u sebe.

- k dispozici je nove Fedora/Redhat Directory server (puvodni netscape - http://directory.fedora.redhat.com/wiki/Main_Page ) uvital bych v ramci serialu nejake porovnani treba

JES DS je produktem vycházející z directory serveru firmy Netscape s názvem iPlanet. Jak jsem zběžně koukal na zmíněný odkaz, zdá se, že se vycházelo ze stejného zdroje.
Článek jsem koncipoval spíše směrem použití DS s nejnutnějším minimem teorie. Nebudu se pouštět do srovnávací recenze.

[Matlas]

Prolétl jsem článek a spíš než seznámení s problematikou mi to přijde jak změť poznámek z přednášky o LDAP. V článku je jako jeden z příkladů uveden fragment ze schématu. O čem se ale mluví neznalému člověku nemůže být zřejmé. Úvodní článek by dle mého názoru měl skutečně obsahovat úvod.

Tedy kde se ten LDAP vzal, co je X.500, co je to schéma, co je OID, co je ASN.1, jaké jsou organizace, které OID registrují a proč to dělají (např. IANA http://www.iana.org/assignments/enterprise-numbers), jaké jsou možné modely pro vybudování LDAP adresáře, odkazy na RFC a drafty upravující LDAP. Btw. ví autor, že OpenLDAP je referenční implementací většiny RFC k tomuto tématu (autor K. Zeilenga, OpenLDAP Foundation)?

[Lukáš Cirkva]

To co jeden považuje za základ zase druhý považuje za podružné. Tento článek se nezaměřuje na návrh a vytváření modelů, schémat a registrace OID. Jedná se jistě o velmi důležitou část LDAPu, ale pro vlastní prezentaci možností LDAPu se nejedná o nutnou znalost.

Odkazy na RFC si jiste aktivní čtenář našel (ne ten, kdo článek jen prolétl). Je na ně v článku nepřímo odkazováno. Případně příkládám odkaz na RFC, které zveřejnil Karel na svém blogu.

Problematika adresářových služeb je natolik rozsáhlá, že nelze uspokojit každého. Samozřejmě nic nebrání autorovi příspěvku, aby sepsal vlastní znalosti a zkušenosti a zveřejnil je.

[Matlas]

V tom s vami moc nesouhlasim. Vysvetleni zakladnich pojmuje myslim pomerne dulezite a kdyz nekde prezentuji priklad, mel by ten, komu je prezentovano byt schopen jasne pochopit o co v prikladu jde.

Priklad prezentovany formou "podivej, to je parada co?" ktery vyvolava otazky "Hmm, dobry, a co?" neni asi uplne nejlepsi.

Navic vysvetlovat moznosti aniz by bylo zrejme odkud se vzaly, proc to tak je je dle meho nazoru takove 'microsofti' pojeti. Ani odpovedi na muj post jste me nepresvedcil o tom, ze byste do problematiky videl vice nez na urovni umim nainstalovat Sun directory, umim udelat search, vlozit data ...

V postu neslo o to, abyste vysvetloval jak se registruje OID. pouze jsem si posteskl nad tim, ze to co jsem od takoveho clanku cekal se nekonalo. Tim myslim, vzit skutecne adresarove sluzby jako adresarove sluzby, ne jako SUN directory. Kdyz uz nic jineho, LDAP neni jednodussi alternativou X.500 DAP protokolu. LDAP vznikl puvodne jako protokol pro pristup k X.500 nad TCP/IP. X.500 totiz pracovala nad protokoly OSI.

Ale to vy jiste vite a v pristich dilech jiste vysvetlite co je to takove DIT nebo DSA

[Karel Benák]

No nevim, ale rekl bych ze pravdu mate oba, podle meho nazoru LDAP uz v dobe sveho vzniku neumel vsechno co umel protokol X.500, odtud tedy jeho nazev - Lightweight Directory Adress Protocol.

Prislo mi, ze na ABCLinuxu vychazely clanky ve stylu "Jak udelam xyz" o coz se Lukas Cirkva snazi, nakonec jinak by asi nebyl v sekci Navody . Pokud ale po autorovi pozadujete vsechny souvisejici informace, ve sve podstate po nem chcete napsat novou knihu pomerne rozsahleho formatu. Do jednoho clanku to proste nelze vmestnat protoze byste tech min. 5-7 obrazovek textu asi sotva cetl, stejne jako souvisejici RFC. Uprimne, mate vsechna RFC souvisejici s protokolem LDAP prectena? Velkym problemem je urcit miru znalosti ctenaru, pro jedny je to jen par poznamek, jini by zase potrebovali zakladni kurz informatiky, ktery by jim vysvetlil co je co a k cemu to slouzi a jak ziskat rozhled po svete IT, ktery se omezil napr. na "jak zkompilovat jadro".

Pokud chcete podrobnosti k protokolu X.500 klidne si jej za prislusny poplatek prectete, nejsou zdarma k nahlednuti jako je tomu u RFC. Rozhodne doporucuji precist Understanding and Deploying LDAP Directory Services, Second Edition, LDAP System Administration, LDAP Directories Explained: An Introduction and Analysis ale podle Vasi reakce bych tipoval ze jste mozna neco takoveho cetl.

Autor o tom ze OpenLDAP je referencni implementaci protokolu LDAP vi, protoze jsme spolu o tom diskutovali a taky zna muj nazor na OpenLDAP, ktery neni z nejrychlejsich a neimplementuje uplne vsechno spravne resp. alespon neimplementoval v dobe, kdy jsem to potreboval a psal o LDAPu diplomku.

Nezbyva mi konstatovat nez to, ze jsem rad, ze jsem podobny clanek nevydal ja ale Lukas. Reakce typu "LDAPem jsem se zabyval .... dni ...", "... kde sehnat informace? ..." nebo naopak "neuvedl jste XXXXX", "proc jste se nezminil o YYYY", "autor zapomel na ZZZZ" apod. me docela hodne linuxovou komunitu znechucuji, bohuzel se s nimi setkavam cim dal casteji .

[Matlas]

S tim souhlasim. nelze na par radcich rict tolik, co napise tlusta kniha. myslim ale, ze alespon zakladni uvedeni do problematiky by jiste neskodilo. Nepotrebuju cist normy o X.500 (ikdyz k nim mam pristup). Nevim, ale mozna by ale sirsi obec ctenarska zminku o tom, ze neco takoveho existovalo/existuje uvitala. jen to rozsiruje obzory.

Dovolim si jeden primer, kdyz jste delal autoskolu, zamlceli pred vami ze auto ma motor? prede mno nikoli. V tom to vidim stejne. abych umel ridit auto, nemusim umet opravit motor, ale je docela uzitecne vedet, ze tam je a co asi dela. To nam rozsah one 'knihy, kterou nutim autora psat' dost omezuje.

Tolik k vysvetleni.

[Matlas]

Btw. musim rict, ze vase diplomka je opravdu pekna.

[Lukáš Cirkva]

Karlova diplomka je vyborna, ovsem mi v ni chybi mnoho praktickych veci, ktere pouzivam nebo jsem si je otestoval a v konecnem vysledku i sepsal.

Verim, a pomerne veliky ohlas prvniho dilu mi dava zapravdu, ze se sepsane informace budou hodit i ostatnim.

[Karel Benák]

No nevim ale myslim ze kapitola c. 5 je cela prakticka a da se podle ni udelat dost veci Popisovat instalaci OpenLDAP serveru tu ale nema cenu, tomu jsem venoval jiste stranky uvedene i v diplomce. Bohuzel jsem se od sepsani diplomky ktera musela mit omezeny pocet stran jak jiste velmi dobre vis (chudaci Doc. Demel a RNDr. Hora z nasi alma mater to po me museli louskat ) nedostal a v dohlednych dvou mesicich ani nedostanu k jejich udrzbe, dopsani a presunu na domenu ldap.benak.net.

[Lukáš Cirkva]

Nezbyva mi konstatovat nez to, ze jsem rad, ze jsem podobny clanek nevydal ja ale Lukas. Reakce typu "LDAPem jsem se zabyval .... dni ...", "... kde sehnat informace? ..." nebo naopak "neuvedl jste XXXXX", "proc jste se nezminil o YYYY", "autor zapomel na ZZZZ" apod. me docela hodne linuxovou komunitu znechucuji, bohuzel se s nimi setkavam cim dal casteji .

Linuxova komunita nemuze za nektere jedince, kteri utoci aniz by si clanek poradne precetli. Vzdy je to o konkretnich lidech.
Vetsina prispevatelu do diskuze ma v podstate pravdu, neni jim neco jasne a v clanku nenasli odpoved, coz v nekterych konkretnich pripadech beru jako namet do budoucna.

[Lukáš Cirkva]

V tom s vami moc nesouhlasim. Vysvetleni zakladnich pojmuje myslim pomerne dulezite a kdyz nekde prezentuji priklad, mel by ten, komu je prezentovano byt schopen jasne pochopit o co v prikladu jde.

Vycerpavajici osvetleni zakladnich pojmu u LDAPu zabere minimalne desitky stranek. Presne k tomu jsou velmi kvalitne sepsane publikace a pokud jste je cetl, tak jiste vite, ze jsou i velmi obsahle.

Navic vysvetlovat moznosti aniz by bylo zrejme odkud se vzaly, proc to tak je je dle meho nazoru takove 'microsofti' pojeti.

K microsoftimu pojeti a podobnym utokum se nehodlam vyjadrovat nekomu, kdo se nedokaze ani podepsat.

V postu neslo o to, abyste vysvetloval jak se registruje OID. pouze jsem si posteskl nad tim, ze to co jsem od takoveho clanku cekal se nekonalo. Tim myslim, vzit skutecne adresarove sluzby jako adresarove sluzby, ne jako SUN directory. Kdyz uz nic jineho, LDAP neni jednodussi alternativou X.500 DAP protokolu. LDAP vznikl puvodne jako protokol pro pristup k X.500 nad TCP/IP. X.500 totiz pracovala nad protokoly OSI.

Tak tady pisete polopravdy nebo vylozene nesmysly.

- V postu jste psal, ze vam chybi uvod a jako priklady jste uvedl veci, ktere se vztahuji pouze a jenom k jedinemu tematu, ktere jako takove je jedno z mnoha a IMHO neni zakladni nutnou znalosti. Takze nesouhlasim.

- Sun directory server jsem napsal jako priklad SW, na kterem budu prezentovat pouziti, jinak se na nej jsem v teto casti nic nevztahoval. Jsou dokonce vyjmenovany i ostatni SW alternativy. Sun directory server je adresarova sluzba (coz take jineho), ktera splnuje RFC + nekolik funkcionalit navic, ktere uz mi zde nekdo vytknul, ze jsem je nevypichnul. Takze opet nepravda z vasi strany.

- LDAP znamena Lightweight DAP, jak je jiz z nazvu patrne, je! zjednoduseni X.500. Doporucuji vam si skutecne precist RFC, ze kterych to to vyplyva. V nekterych publikacich je to i napsano zcela jasne. Takze opet nemate pravdu.

[Matlas]

Uff, prominte ale toto uz je lehce citit urazenou jesitnosti. Co znamena umet se podepsat? Mit ucet na AbcLinuxu? Pokud ano, asi se tedy podepsat neumim (neni to tim, ze nemusim mit ucet vsude?).

k tem vasim RFC:

- LDAP znamena Lightweight DAP, jak je jiz z nazvu patrne, je! zjednoduseni X.500. Doporucuji vam si skutecne precist RFC, ze kterych to to vyplyva. V nekterych publikacich je to i napsano zcela jasne. Takze opet nemate pravdu.

Asi ne. Snad jen dve poznamky. 1. X.500 neni protokol. Protokol nad OSI je DAP.

2. Toto je abstract z RFC 1777 Lightweight Directory Access Protocol

The protocol described in this document is designed to provide access to the X.500 Directory while not incurring the resource requirements of the Directory Access Protocol (DAP). This protocol is specifically targeted at simple management applications and browser applications that provide simple read/write interactive access to the X.500 Directory, and is intended to be a complement to the DAP itself.

pokud umim dobre cist, pise se tam, ze je doplnenim, ne zjednodusenim nebo nahrazenim DAP.

muzete podotknout, ze RFC je stare, ale RFC 2251 (Lightweight Directory Access Protocol (v3)) rika v podstate to same.

Opravdu se nehodlam hadat. nez zacnete slovickarit a trousit nesmysly, zkuste si neco precist. Pro zacatek treba nejaka ta rfc co se jimi ohanite, nebo neco o te X.500(ISO/IEC 9594:1993 http://archive.dante.net/np/ds/osi.html)

a jedno doporuceni, kdyz se bojite kritiky, nepublikujte. V zivote vas take nebude kazdy jen chvalit.

[Lukáš Cirkva]

Opet nezbyva nez zopakovat to co je v clanku napsane:

Lightweight Directory Access Protocol je standardizovaný protokol pro přístup k adresářovým službám, definuje komunikaci mezi serverem a klientem. Zprávy obsahují také příslušná data a informace o jejich formátu. Protokol běží nad internetovými transportními protokoly jako je TCP/IP. LDAP je jednodušší alternativou k protokolu X.500 Directory Access Protocol (DAP), přičemž slouží i jako brána pro přístup k tomuto protokolu.

Za kazdym slovem si stojim, neni treba nic menit. Vse je napsano a vypliva z mnoha publikacich napriklad z RFC. Chytani za slovicka vam nepomuze zmenit skutecnost, taktez vytahovani jen urciteho odstavce odkudkoli.

Kritika je vitana, ovsem kontruktivni, zalozena na faktech a ne dojmech a ne podlozena impertinentnimi utoky. Coz take vsichni neanonymni diskutujici splnili, za coz jim dekuji.

[Tomáš Volek]

Přečetl jsem si celý článek a také celou diskuzi a nedá mi to, abych nereagoval.

V něčem s Matlasem souhlasím. Když jsem si procházel diskuzi, dá se opravdu rozdělit na dvě části. První část jsou lidé, kteří mají na abclinux.cz uživatelský účet. Takoví chválí co můžou a zároveň se shodují, že vědí o LDAP málo, nebo nic.

Druhá skupina jsou lidé, kteří uživateli nejsou a ti nechválí. Nepřišlo mi ale, že by autora nějak hanili. Upozorňují na nepřesnosti, nebo skuhrají, že v článku není to co by čekali.

Autorův poslední příspěvek mi ale přijde trapný a zbytečný. K pravopisným chybám a slovosledu se vyjadřovat nebudu. Tady dostala čeština na sedací část těla. :)

Nikde nevidím ty dojmy a impertinentní útoky. Pro ověření jsem uvedené RFC vyhledal. Citovaný odstavec není vytržen z kontextu. Jde opravdu o přesnou citaci úvodu(abstract).

Co jiného by tedy mělo být větším faktem než citace rfc?

V tom se pan Cirkva shodil.