LDAP目录资源整合-以RADIUS为例.docVIP

LDAP目錄資源整合-以RADIUS為例 吳欣蒨 國立中興大學計算機及資訊網路中心 台中市402國光路250號(04735) E-mail:dowdot@.tw 壹、前言 以一家大型企業或學校而言，通常都會提供各式各樣的網路服務或者是系統服務供員工或教職員生所使用。然而這麼多的服務通常不會只交給同一台主機來處理，也就是說同一台伺服器不會同時擔任多種角色，加上這種形態的單位使用者人數眾多，人員的流動率並不是非常固定。這麼一來，各種的服務分散在不同的主機，不管對主機管理員或使用者來說，帳號管理成了最頭痛的問題。 現實環境中己存在各項網路服務，這些服務分屬於不同的實體主機裡，圖(一)。倘若這些主機的帳號資源是在沒有經過整合的情況下，就使用者而言，每使用一種服務就必需申請一次帳號密碼，往往時間一長使用者往往搞不清楚當初所申請的帳號密碼為何。並得求救於管理者，所以對管理者而言也得耗費相當多的精力在帳號的維護上，更別提當面臨新進人員或人員離職時大批的帳號異動了。 Lightweight Directory Access Protocol (LDAP)是一種可讓任何人找到網路中的組織，個人或檔案或裝置等其他資源的一種軟體協定。運用LDAP，即可讓系統管理者完成資料統一管理Lightweight Directory Access Protocol (LDAP)[2]，顧名思義LDAP是「輕量級」版本的DAP（Directory Access Protocol)，DAP是網路目錄服務標準X.500的一部分。 網路中，目錄可協助尋找特定物件的位置。在TCP/IP網路(including the Internet)中相對於特定網路位置的網名，構成的是目錄系統稱為網域名稱系統（DNS）。 LDAP從根目錄下，細分國家、地區、組織、小組織及個人它允許網路訪問伺服器（NAS）執行對用戶的驗證、授權和記帳。Authentication requests可以觸發不同的Authentication及Authorization資料庫，且 Accounting records可以同時記錄在多個不同的資料庫上。也就是說使用者輸入的身份與密碼，在驗證通過之後，經由Authorization授權使用者登入網域使用相關資源，並提供Accounting機制，保存使用者的網路使用記錄。以麥當勞與中華電信合作，無線熱點（Hotspot）的寬頻上網服務中華電信HiNet撥接、ADSL客戶或會員、行動電話客戶帳號密碼於麥當勞無線上網，通信費用合併於帳單收費Authorization methods FreeRadius所支援的 Authorization的methods如下: Local files Local DB/DBM database LDAP Database Novell eDirectory Sun One Directory Server OpenLDAP Any LDAPv3 compliant directory A locally executed program (like a CGI program) Perl program Python program SQL Database Oracle MySQL PostgreSQL Sybase IBM DB2 Any iODBC or unixODBC supported database Authentication methods 下列驗証伺服器支援的一些方法 Clear-text password in local configuration file (PAP) Encrypted password in local configuration file CHAP MS-CHAP MS-CHAPv2 Windows Domain Controller Authentication (via ntlm_auth and winbind) Proxy to another RADIUS server System authentication (usually through /etc/passwd) PAM (Pluggable Authentication Modules) LDAP (PAP only) PAM (PAP only) CRAM Perl program Python program SIP Digest (Cisco VoIP boxes， SER) A locally executed program. (like a CGI program.) Netscape-MTA-MD5 enc