1 LDAP入門
1.1 定義
LDAP是輕量目錄訪問協議(LightweightDirectory Access Protocol)的縮寫，LDAP標準實際上是在X.500標準基礎上產生的壹個簡化版本。
1.2 目錄結構
LDAP也可以說成是壹種數據庫，也有client端和server端。server端是用來存放數據，client端用於操作增刪改查等操作，通常說的LDAP是指運行這個數據庫的服務器。只不過，LDAP數據庫結構為樹結構，數據存儲在葉子節點上。
因此，在LDAP中，位置可以描述如下
因此，蘋果redApple的位置為
dn標識壹條記錄，描述了數據的詳細路徑。因此，LDAP樹形數據庫如下
因此，LDAP樹形結構在存儲大量數據時，查詢效率更高，實現迅速查找，可以應用於域驗證等。
1.3 命名格式
LDAP協議中采用的命名格式常用的有如下兩種：LDAP URL 和X.500。
任何壹個支持LDAP 的客戶都可以利用LDAP名通過LDAP協議訪問活動目錄，LDAP名不像普通的Internet URL名字那麽直觀，但是LDAP名往往隱藏在應用系統的內部，最終用戶很少直接使用LDAP 名。LDAP 名使用X.500 命名規 範，也稱為屬性化命名法，包括活動目錄服務所在的服務器以及對象的屬性信息。
2 AD入門
2.1 AD定義
AD是Active Directory的縮寫，AD是LDAP的壹個應用實例，而不應該是LDAP本身。比如：windows域控的用戶、權限管理應該是微軟公司使用LDAP存儲了壹些數據來解決域控這個具體問題，只是AD順便還提供了用戶接口，也可以利用ActiveDirectory當做LDAP服務器存放壹些自己的東西而已。比如LDAP是關系型數據庫，微軟自己在庫中建立了幾個表，每個表都定義好了字段。顯然這些表和字段都是根據微軟自己的需求定制的，而不是LDAP協議的規定。然後微軟將LDAP做了壹些封裝接口，用戶可以利用這些接口寫程序操作LDAP，使得ActiveDirectory也成了壹個LDAP服務器。
2.2 作用
2.2.1 用戶服務
管理用戶的域賬號、用戶信息、企業通信錄（與電子郵箱系統集成）、用戶組管理、用戶身份認證、用戶授權管理、按需實施組管理策略等。這裏不單單指某些線上的應用更多的是指真實的計算機，服務器等。
2.2.2 計算機管理
管理服務器及客戶端計算機賬戶、所有服務器及客戶端計算機加入域管理並按需實施組策略。
2.2.3 資源管理
管理打印機、文件***享服務、網絡資源等實施組策略。
2.2.4 應用系統的支持
對於電子郵件（Exchange）、在線及時通訊（Lync）、企業信息管理（SharePoint）、微軟CRM&ERP等業務系統提供數據認證（身份認證、數據集成、組織規則等）。這裏不單是微軟產品的集成，其它的業務系統根據公用接口的方式壹樣可以嵌入進來。
2.2.5 客戶端桌面管理
系統管理員可以集中的配置各種桌面配置策略，如：用戶適用域中資源權限限制、界面功能的限制、應用程序執行特征的限制、網絡連接限制、安全配置限制等。
2.3 AD域結構常用對象
2.3.1 域(Domain)
域是AD的根，是AD的管理單位。域中包含著大量的域對象，如：組織單位(Organizational Unit)，組(Group)，用戶(User)，計算機(Computer)，聯系人(Contact),打印機，安全策略等。
可簡單理解為：公司總部。
2.3.2 組織單位(Organization Unit)
組織單位簡稱為OU是壹個容器對象，可以把域中的對象組織成邏輯組，幫助網絡管理員簡化管理組。組織單位可以包含下列類型的對象：用戶，計算機，工作組，打印機，安全策略，其他組織單位等。可以在組織單位基礎上部署組策略，統壹管理組織單位中的域對象。
可以簡單理解為：分公司。
2.3.3 群組(Group)
群組是壹批具有相同管理任務的用戶賬戶，計算機賬戶或者其他域對象的壹個集合。例如公司的開發組，產品組，運維組等等。可以簡單理解為分公司的某事業部。
群組類型分為兩類:
2.3.4 用戶(User)
AD中域用戶是最小的管理單位，域用戶最容易管理又最難管理，如果賦予域用戶的權限過大，將帶來安全隱患，如果權限過小域用戶無法正常工作。可簡單理解成為某個工作人員。
域用戶的類型，域中常見用戶類型分為：
壹個大致的AD如下所示：
總之：Active Directory =LDAP服務器 LDAP應用（Windows域控）。ActiveDirectory先實現壹個LDAP服務器，然後自己先用這個LDAP服務器實現了自己的壹個具體應用（域控）。
3 使用LDAP操作AD域
特別註意：Java操作查詢域用戶信息獲取到的數據和域管理員在電腦上操作查詢的數據可能會存在差異（同壹個意思的表示字段，兩者可能不同）。
連接ad域有兩個地址：ldap://XXXXX.com:389 和 ldap://XXXXX.com:636（SSL）。
端口389用於壹般的連接，例如登錄，查詢等非密碼操作，端口636安全性較高，用戶密碼相關操作，例如修改密碼等。
域控可能有多臺服務器，之間數據同步不及時，可能會導致已經修改的數據被覆蓋掉，這個要麽域控縮短同步的時間差，要麽同時修改每壹臺服務器的數據。
3.1 389登錄
3.2 636登錄驗證（需要導入證書）
3.3 查詢域用戶信息
3.4 重置用戶密碼
3.5 域賬號解鎖
總結