ΠΕΡΙΕΧΟΜΕΝΑ. Περίληψη 2

Transcript

1 ΠΕΡΙΕΧΟΜΕΝΑ Περίληψη 2 1. Directories: έννιες και ρισµί Directories & Directory Services Η ανάγκη δηµιυργίας ενός καθλικύ Directory Λειτυργίες και λύσεις µιας καθλικής Directory Service ιαφρές µεταξύ των Directories και των Βάσεων εδµένων Directory Clients & Servers (Πελάτες και Εξυπηρετητές) X Συστατικά µιας Χ.500 Directory Service Η δενδρική δµή τυ X Τ λειτυργικό µντέλ τυ X Μεινεκτήµατα τυ Χ LDAP (Lightweight Directory Access Protocol) Τ LDAP ως λκληρωµένη Directory Service Aρχιτεκτνική τυ LDAP Τ πληρφριακό µντέλ To µντέλ νµατλγίας To λειτυργικό µντέλ Τ µντέλ ασφάλειας Τ LDAP ως µέρς της λύσης για καθλικές Directory Services Τ πληρφριακό µντέλ των DEN Κλάσεις των DEN 37 1

2 4.1.1 Eπιρρές τυ Χ Επιρρές τυ CIM Νέες έννιες των DEN Επιχειρησιακές αλλαγές Scalable Device Configuration Management, Policy Based Networking Scalable Device Configuration Management Policy Based Networking Πρβλέψεις 46 Αναφρές 47 2

3 Περίληψη Τα directory enabled networks είναι δίκτυα στα πία ενσωµατώννται ι λεγόµενες directory services. Oι directory services παρέχυν στ χρήστη τη δυνατότητα τυ εντπισµύ των πόρων τυ δικτύυ. Η ανάγκη για την παρχή της δυνατότητας αυτής έχει αυξηθεί ταυτόχρνα µε τη ραγδαία αύξηση τυ µεγέθυς των επιχειρησιακών δικτύων και ενώ στα LANs, τα πία συνέδεαν µερικές δεκάδες ή εκατντάδες υπλγιστές, απτελύσε απλώς µία ευκλία, στα σηµερινά intranets πυ συνδέυν χιλιάδες υπλγιστικών πόρων απτελεί µία κρισιµότατη υπηρεσία. Σήµερα, ι τάσεις σε ότι αφρά την εξέλιξη των δικτύων είναι πρφανείς. Η ανάγκη της απλπίησης της επαφής τυ χρήστη µε τ δίκτυ καθώς και η διευκόλυνση της διαχείρισης των δικτύων µε τεχνικές πυ περιλαµβάνυν την απδτική εκχώρηση εύρυς ζώνης και τη λειτυργία τυς µε βάση συγκεκριµένες πλιτικές, δηγύν τις εξελίξεις στν διαρκώς εξελισσόµεν αυτό τµέα. Η λύση πυ φέρεται ως πιθανή να επιτύχει την ικανπίηση αυτών των αναγκών ακύει στ όνµα directory enabled networks. Αbstract Directory services play the important role of helping users locate resources on a network. The need for this function has grown along with the size of the corporate network. What was only a nicety on LANs that connected tens or hundreds of clients has become a truly critical service on intranets that connect thousands of resources and users. Two trends are obvious. The need to simplify the user s contact with the network and the need to simplify the technical management of the network, including bandwidth management and the expansion and introduction of new technologies. A cost effective solution to both of these problems is directory enabled networks. 3

4 1. Directories: έννιες και ρισµί 1.1 Directories & Directory Services Directory, ή στα Ελληνικά κατάλγς, είναι µία ειδικής χρήσης βάση δεδµένων η πία περιέχει πληρφρίες σχετικές µε τυς διάφρυς πόρυς πυ είναι διαθέσιµι σε ένα δίκτυ και ι πίες χρησιµπιύνται για τη διαχείριση τυ δικτύυ [5]. Η διαφρά µεταξύ ενός directory και ενός κλασσικύ Συστήµατς ιαχείρισης Βάσεων εδµένων (DataBase Management System DBMS) έγκειται στ γεγνός ότι ι directories είναι βελτιστπιηµένι για διαχείριση δεδµένων, ι λειτυργίες ανάγνωσης των πίων είναι πλύ πι συχνές από τις λειτυργίες εγγραφής ή τρππίησής τυς. Επµένως, ι directories παρέχυν εξαιρετικύς χρόνυς απόκρισης σε διαδικασίες αναζήτησης δεδµένων, αλλά µεινεκτύν σε ότι αφρά τυς χρόνυς απόκρισης σε διαδικασίες εγγραφής και ενηµέρωσης δεδµένων. Η εικόνα 1.1 δείχνει ένα δίκτυ µιας επιχείρησης και µερικύς από τυς directories πυ απαιτύνται για την υπστήριξή τυ. Eικόνα 1.1: Directories για υπστήριξη δικτύυ επιχείρησης. Συγκρινόµενι µε κλασσικά DBMSs, ι directories είναι σχετικά ανώριµι αναφρικά µε την ικανότητά τυς να εκτελύν ρισµένες από τις πι πλύπλκες 4

5 διαδικασίες ι πίες επιτρέπυν τη διαχείριση µεγάλυ όγκυ πληρφριών. Τυππιηµένα χαρακτηριστικά ενός εµπρικύ DBMS απτελύν η διαδχή διαγραφών (cascading deletes), τα σύνλα απτελεσµάτων (result sets) και η πισθχώρηση συναλλαγών (transaction rollback). Tα χαρακτηριστικά αυτά δεν υπστηρίζνται, πρς τ παρόν, από τυς directories. Τέλς, µία directory service (υπηρεσία καταλόγυ), µπρεί να λαµβάνει χώρα σε έναν µναδικό server ή να είναι κατανεµηµένη σε περισσότερυς. Σε έναν κατανεµηµέν directory όλι ι servers συνεργάζνται έτσι ώστε να παρέχυν µία ενπιηµένη directory service, η πία θα πρέπει ταυτόχρνα να µην παρυσιάζει σφάλµατα. Mία τέτια directory service παρέχει, µέσω αντιγραφής, µία κινή όψη των δεδµένων ανεξάρτητη από τη θέση τυ client. 1.2 Η ανάγκη δηµιυργίας ενός καθλικύ Directory Mία παραδσιακή directory service παρέχει ένα µέσ για τν εντπισµό και την αναγνώριση χρηστών και διαθέσιµων πόρων σε ένα κατανεµηµέν σύστηµα. ίνει επίσης τη δυνατότητα πρόσθεσης, τρππίησης, αφαίρεσης, µετνµασίας και γενικά διαχείρισης των µερών τυ συστήµατς χωρίς να διακόπτεται η λειτυργία των υπόλιπων των µερών τυ. Επµένως, µία directory service επιτελεί τις παρακάτω λειτυργίες [18]: o Aπθηκεύει πληρφρίες σχετικές µε τα συστατικά τυ συστήµατς µε κατανεµηµέν τρόπ. Οι πληρφρίες αυτές αντιγράφνται σε διάφρυς servers έτσι ώστε ένας χρήστης ή µία υπηρεσία πυ χρειάζεται πρόσβαση σε µία συγκεκριµένη πληρφρία να έχει τη δυνατότητα να την αντλήσει από έναν τπικό server. o Υπστηρίζει υπηρεσίες λευκών σελίδων (white pages) για αναζήτηση µε βάση κάπι χαρακτηριστικό (π.χ. Πις είναι αριθµός τηλεφώνυ τυ Γιάννη Παπαδόπυλυ; ) καθώς και κίτρινων σελίδων (yellow pages) για αναζήτηση µε βάση κάπια κατηγριπίηση (π.χ. Σε πια σηµεία τυ τέταρτυ ρόφυ υπάρχυν έγχρωµι εκτυπωτές; ). 5

6 o Επιτρέπει απλό έλεγχ πρόσβασης των χρηστών στις δικτυακές υπηρεσίες έτσι ώστε να είναι πλήρως εκµεταλλεύσιµι τόσ ι δικτυακί πόρι όσ και ι υπηρεσίες. o Παρέχει ένα ανεξάρτητ από τπθεσία σηµεί διίκησης και διαχείρισης. o ηµιυργεί αντίγραφα των δεδµένων για την παρχή αξιόπιστων πληρφριών. Οι τρππιήσεις πυ επιφέρνται σε πιδήπτε αντίγραφ των δεδµένων διαδίδνται σε όλα τα αντίγραφα µέσω τυ δικτύυ έτσι ώστε ι πληρφρίες πυ ζητά κάθε εφαρµγή η πία έχει πρόσβαση στν directory να είναι συνεπείς. Όλες αυτές ι υπηρεσίες είναι, φυσικά, χρήσιµες, καθώς διευκλύνυν τη διαχείριση τυ δικτύυ αλλά και πρσφέρυν τη δυνατότητα της όσ τ δυνατόν καλύτερης εκµετάλλευσης των πόρων και των υπηρεσιών τυ από τυς χρήστες και τις δικτυακές εφαρµγές. Παρόλα αυτά ρόλς των directory services έχει αναβαθµιστεί τα τελευταία χρόνια έτσι ώστε να µπρύν να επιτελύν περισσότερες και πι πλύπλκες λειτυργίες από τις πραναφερθείσες. Οι κυριότερι λόγι πυ δηµιύργησαν την ανάγκη αναβάθµισης τυ ρόλυ των directories είναι ι εξής [6]: o H έκρηξη τυ αριθµύ των υπλγιστών πυ είναι συνδεδεµένι σε δίκτυ. Τ 1993 τ πσστό των υπλγιστών πυ ανήκυν σε εταιρείες και είναι συνδεδεµένι σε δίκτυ ήταν µόλις 23%. Τ 1998 τ πσστό αυτό αυξήθηκε σε 50%. Επίσης, συνλικός αριθµός υπλγιστών συνδεδεµένων σε δίκτυ ήταν περίπυ τ 1997, ενώ υπλγίζεται ότι τ 2001 αριθµός αυτός θα ξεπεράσει τα Με τν διαρκώς αυξανόµεν αριθµό υπλγιστών πυ έχυν πρόσβαση σε δίκτυ κάθε άλλ παρά έκπληξη πρκαλεί τ γεγνός ότι η εξεύρεση πόρων στ δίκτυ είναι πλέν από δύσκλη εώς πρβληµατική. o Η αναζήτηση δεδµένων αφρά πλέν και τις εφαρµγές εκτός από τυς χρήστες. Η αναζήτηση µιας διεύθυνσης από ένα χρήστη είναι παράδειγµα µιας συνηθισµένης ερώτησης πρς έναν directory. Ωστόσ, είναι ι εφαρµγές αυτές πυ λένα και περισσότερ αναζητύν πληρφρίες στυς directories. Για παράδειγµα, ι web servers πρέπει να αναζητήσυν τα δικαιώµατα πρόσβασης ενός χρήστη πριν δώσυν πρόσβαση σε µία web page 6

7 στ συγκεκριµέν χρήστη. Επίσης ι mail servers χρειάζεται να γνωρίζυν πυ βρίσκεται τ mailbox ενός χρήστη ώστε να δρµλγύν σωστά τα mail πυ απευθύννται σ αυτόν. o Οι νέες δικτυακές υπηρεσίες. Όταν τα Λειτυργικά Συστήµατα ικτύυ (Νetwork Operating Systems NOS) παρείχαν µόν τη δυνατότητα διαµιρασµύ αρχείων και υπηρεσίες εκτύπωσης, ρόλς ενός directory ήταν να παρέχει βήθεια στυς χρήστες να εντπίσυν τυς file servers και τυς εκτυπωτές. Καθώς, όµως, νέι τύπι υπηρεσιών εµφανίζνται στα δίκτυα και ι δικτυακές εφαρµγές απτελύν τν κανόνα και όχι την εξαίρεση, ι directory services αναλαµβάνυν πλέν τ ρόλ της ργάνωσης των πόρων τυ δικτύυ έτσι ώστε αυτί να είναι όσ τ δυνατόν πι εύχρηστι. o Τα επιχειρησιακά intranets. H µετατρπή των τπικών δικτύων (Lcal Area Networks - LANs) των επιχειρήσεων σε επιχειρησιακά intranets έφερε τα θέµατα ασφάλειας στην κρυφή της λίστας των πρβληµάτων πυ έχυν να αντιµετωπίσυν ι διαχειριστές δικτύων. Όταν τα LANs απµόνωναν τις διάφρες µάδες εργασίας σε µία επιχείρηση τα θέµατα ασφάλειας δεν ήταν τόσ κρίσιµα όσ σήµερα πυ τα intranets έχυν καταστήσει επιτακτική την ανάγκη ελέγχυ πρόσβασης για κάθε χρήστη. Ο directory είναι η πρφανής τπθεσία στην πία απθηκεύνται τα usernames, passwords, certificates και public keys τα πία παρέχυν τ πλαίσι ανάπτυξης τεχνλγιών για πιστπίηση ταυτότητας και κρυπτγράφηση. Οι τεχνλγίες αυτές χρησιµπιύνται τόσ σε intranets επιχειρήσεων όσ και στ Internet. o Tα extranets. Τα δίκτυα πυ συνδέυν συνεργαζόµενες επιχειρήσεις ή επιχειρήσεις µε πρµηθευτές και πελάτες απαιτύν directory services για την παρχή ασφάλειας, αλλά και για την παρχή ενός κινύ χώρυ απθήκευσης πληρφριών όπως ι πρδιαγραφές πρϊόντων, ι διαδικασίες τιµλόγησης και τα λγιστικά. Οι συγκεκριµένι directories επικινωνύν µε πλλαπλές βάσεις δεδµένων πυ περιέχυν επιχειρησιακές πληρφρίες. o Τ ηλεκτρνικό εµπόρι (e-commerce). Τ ηλεκτρνικό εµπόρι, πυ διεξάγεται κυρίως µέσω τυ Internet, απαιτεί τη χρήση directory services για δύ κυρίως λόγυς. Ο πρώτς είναι να επιτρέπει στυς πελάτες να εντπίζυν 7

8 τυς πωλητές. Ο δεύτερς λόγς είναι τ γεγνός ότι directory παίζει σηµαντικό ρόλ στη δηµιυργία υπδµής δηµσίυ κλειδιύ (Public Key Infrastructure PKI), η πία είναι απαραίτητη για την ασφάλεια των ηλεκτρνικών συναλλαγών. To ηλεκτρνικό εµπόρι µέσω τυ Internet απαιτεί κρυπτγράφηση των ανταλλασσόµενων δεδµένων και τεχνλγίες ψηφιακής υπγραφής τα πία επιτυγχάννται µε τη βήθεια των directories. To πρόβληµα πυ αντιµετωπίζυν πλλές επιχειρήσεις είναι τ γεγνός ότι στ δίκτυ πυ υπστηρίζει τις λειτυργίες τις επιχείρησης υπάρχει συνήθως ένας µεγάλς αριθµός directories η διαχείριση των πίων απτελεί µία επίπνη και πλλές φρές εφιαλτική διαδικασία. Σύµφωνα µε έρευνα της εταιρείας Forrester Research Inc., µία τυπική επιχείρηση µπρεί να έχει εώς και 181 ξεχωριστύς directories καθώς και αρχεία µε πληρφρίες σχετικές µε τυς χρήστες τυ δικτύυ. Η πρσέγγιση αυτή δηµιυργεί πληρφριακές νησίδες (information islands) µε απτέλεσµα η εκτέλεση απλών λειτυργιών όπως η πρσθήκη ή η αφαίρεση ενός χρήστη και η αλλαγή των δικαιωµάτων τυ, καθώς και η δηµιυργία νέων δικτυακών εφαρµγών να απτελεί µία πλύπλκη διαδικασία πυ πρέπει να εκτελεστεί από τ διαχειριστή τυ δικτύυ [4]. Στην εικόνα 2 απεικνίζεται τ γεγνός της ύπαρξης ενός µεγάλυ αριθµύ directories σε ένα επιχειρησιακό δίκτυ. Εικόνα 1.2: Πλλαπλί directories σε ένα επιχειρησιακό δίκτυ. 8

9 Παραδείγµατα directories πυ µπρεί να υπάρχυν σε ένα δίκτυ µιάς επιχείρησης απτελύν ι directories αρχείων πυ υπάρχυν σε κάθε σκληρό δίσκ, PBX directories για αριθµύς τηλεφώνυ, directories ανθρωπίνων πόρων (human resources) για στιχεία σχετικά µε τυς υπαλλήλυς, directories, directories για απµακρυσµένη πρόσβαση (remote access), directories λειτυργικύ συστήµατς δικτύυ (Network Operating System - NOS), και Internet directories (Finger, Domain Name Server DNS, Internet White Pages). To πρόβληµα της ύπαρξης πλλαπλών directories εντείνεται καθώς τ µέγεθς της πληρφριακής υπδµής των επιχειρήσεων (enterprise s information infrastructure) αυξάνεται. To απτέλεσµα είναι ότι ι πληρφρίες πυ θα έπρεπε να περιέχνται σε έναν και µόν directory, πλλές φρές περιέχνται σε περισσότερυς. Έτσι, τ όνµα ενός υπαλλήλυ, αριθµός τηλεφώνυ τυ και η ηλεκτρνική διεύθυνσή τυ είναι δυνατόν να περιλαµβάννται στν directory ανθρωπίνων πόρων, στν directory και στν NOS directory. Τ πρόβληµα γίνεται ακόµη µεγαλύτερ λόγω τυ γεγνότς ότι κάθε directory έχει τις δικές τυ λειτυργίες (authenticate, read, write, search κ.τ.λ.), τ δικό τυ πρωτόκλλ πρόσβασης (access protocol) και τη δική τυ σύµβαση νµασίας των καταχωρήσεων. Είναι, λιπόν, δυνατόν τ όνµα ενός χρήστη να καταχωρείται σε έναν directory ως Γιάννης Παπαδόπυλς, σε έναν δεύτερ ως Γιάννης Κ. Παπαδόπυλς και σε έναν τρίτ ως Γ. Παπαδόπυλς. Επµένως, είναι φανερή η δυσκλία της επικινωνίας και της ανταλλαγής δεδµένων µεταξύ των directories κάτι πυ δηµιυργεί δυσκλίες στην τρππίηση των καταχωρήσεών τυς. Όταν λαµβάνει χώρα µία µεταβλή µιας καταχώρησης σε έναν directory, η αλλαγή αυτή πρέπει να µεταδθεί και σε όλυς τυς υπόλιπυς directories από τ διαχειριστή τυ δικτύυ. Για παράδειγµα, αν κάπις υπάλληλς φύγει από την επιχείρηση, ι πληρφρίες πυ τν αφρύν διαγράφνται από τν directory ανθρωπίνων πόρων, αλλά µπρεί να υπάρξει καθυστέρηση µέχρι να διαγραφύν και από τυς υπόλιπυς directories. To πρόβληµα πυ δηµιυργείται έχει να κάνει µε την ασφάλεια τυ δικτύυ, καθώς συγκεκριµένς υπάλληλς, παρότι έχει φύγει από την επιχείρηση, διατηρεί τ δικαίωµα της απµακρυσµένης πρόσβασης στ δίκτυό της. Συνψίζντας, θα πρέπει να αναφερθεί ότι, µε τη χρήση των directories, ι επιχειρήσεις πρσπαθύν να πρσφέρυν δύ ειδών υπηρεσίες: Απλπίηση της 9

10 πρόσβασης στ δίκτυ για τυς χρήστες και παρχή πληρφριών στυς σωστύς ανθρώπυς, στη σωστή τπθεσία και στην κατάλληλη χρνική στιγµή µε ταυτόχρνη ελαχιστπίηση τυ κόστυς για την επιχείρηση. Όταν, όµως,αντί για έναν καθλικό directory, υπάρχυν πλλαπλί, δηµιυργύνται τα παρακάτω πρβλήµατα πυ σχετίζνται µε την αδυναµία τυ δικτύυ να διαχειριστεί και να συσχετίσει τα δεδµένα πυ βρίσκνται απθηκευµένα σε διαφρετικύς directories [13]: Ο Ο Ο Ο Απυσία ελέγχυ της κατανµής εύρυς ζώνης (bandwidth allocation). Oι διάφρες εφαρµγές χρειάζνται διαφρετικό εύρς ζώνης, ανάλγα µε τη φύση τυς. Για παράδειγµα, µία εφαρµγεί µπρεί να χρειαστεί να µεταδώσει video σε µία συγκεκριµένη αλλά απρόβλεπτη στιγµή. Αν τ δίκτυ δεν µπρεί να διαθέσει άµεσα στην εφαρµγή αυτή τ απαιτύµεν εύρς ζώνης, τότε η εφαρµγή δεν θα µπρέσει να επιτύχει τ σκπό της. Αντίθετα, αν τ δίκτυ έχει τη δυνατότητα της άµεσης, δυναµικής κατανµής τυ εύρυς ζώνης, ι δικτυακές εφαρµγές εκτελύνται απτελεσµατικά και τ συνλικό κόστς λειτυργίας τυ δικτύυ µειώνεται δραµατικά. Απυσία ελέγχυ καθυστέρησης. Ορισµένες εφαρµγές µπρεί να έχυν συγκεκριµένες απαιτήσεις καθυστέρησεις. Έτσι, ενώ η απστλή δε χρειάζεται ιδιαίτερη µεταχείριση, η µετάδση φωνής πρέπει να έχει υψηλή πρτεραιότητα καθώς υπάρχει ένα άνω όρι καθυστέρησης. Τα δίκτυα, λιπόν, θα πρέπει να έχυν τη δυνατότητα απόδσης πρτεραιότητας σε συγκεκριµένες εφαρµγές. Αργή και δαπανηρή διαχείριση τυ δικτύυ. Αν η διαχείριση τυ δικτύυ είναι απκεντρπιηµένη, η διόρθωση πρβληµάτων γίνεται µε αργό ρυθµό, αυξάνντας τ κόστς της µη λειτυργίας τυ δικτύυ. Χαρακτηριστικό είναι τ πρόβληµα της αναβάθµισης τυ λγισµικύ των εκατντάδων υπλγιστών ενός δικτύυ. Αν η διαδικασία αυτή δεν είναι αυτµατπιηµένη, τ κόστς της αναβάθµισης τυ λγισµικύ για κάθε υπλγιστή ξεχωριστά φτάνει σε αστρνµικά επίπεδα. Έλλειψη ασφάλειας. Κάθε επιχειρησιακό δίκτυ θα πρέπει να έχει µία συγκεκριµένη πλιτική ασφάλειας. Για παράδειγµα, θα πρέπει να υπάρχει ένα µόν password για κάθε ντότητα, µέσω τυ πίυ θα ελέγχεται η πρόσβαση 10

11 Ο Ο Ο Ο Ο Ο σε όλυς τυς πόρυς τυ δικτύυ. Λαµβάνντας υπόψη τ πρόβληµα πυ µπρεί να δηµιυργηθεί αν κάπις συνεργάτης της επιχείρησης µεταβληθεί σε ανταγωνιστή και εξακλυθεί να έχει πρόσβαση στ επιχειρησιακό δίκτυ, γίνεται φανερή η σηµασία πυ απκτά η ύπαρξη συγκεκριµένης πλιτικής ασφάλειας η πία µπρεί να υλπιηθεί άµεσα σε λόκληρ τ δίκτυ. Έλλειψη συνεπύς δικτυακής πλιτικής (network policy). Η έλλειψη ενός κεντρικύ χώρυ απθήκευσης της πλιτικής τυ δικτύυ δηγεί στην αυθαίρετη απόδση εύρυς ζώνης και πρτεραιτήτων από τυς τπικύς διαχειριστές τυ δικτύυ. Έτσι δεν είναι δυνατή η απόδση εγγύησης ότι µία εφαρµγή θα εκτελεστεί επιτυχώς. Απυσία ελέγχυ των χρηστών. Τα επιχειρησιακά δίκτυα δεν µπρύν να περιρίσυν την πρόσβαση των χρηστών σε κρίσιµες περιόδυς. Κατά τη διάρκεια µίας τηλεδιάσκεψης θα ήταν λγική η απαγόρευση απστλής ή αναζητήσεων στ web κάτι τ πί δεν µπρεί να επιτευχθεί µε απκεντρπιηµένη διαχείριση τυ δικτύυ. Αργή απόκριση της επιχείρησης στις ανάγκες της αγράς. Καθώς ι εµπρικές δραστηριότητες στν 21 αιώνα περιστρέφνται όλ και περισσότερ γύρω από τ Internet, κάθε επιχείριση πρέπει να αντιδρά γρήγρα και απτελεσµατικά στις αλλαγές πυ συµβαίνυν. Αν τ δίκτυ της επιχείρησης δεν υπστηρίζει τις γρήγρες αλλαγές τ απτέλεσµα είναι η απώλεια επιχειρηµατικών ευκαιριών. Ανακριβή δεδµένα. Λόγω τυ γεγνότς ότι τα δεδµένα της επιχείρησης είναι εξαπλωµένα σε µεγάλ αριθµό directories, µία µικρή αλλαγή είναι δυνατόν να µη διαδθεί σε όλυς. Έτσι, αν η διεύθυνση ενός πελάτη αλλάξει και η αλλαγή αυτή δεν διαδθεί σε λόκληρ τ δίκτυ, η επικινωνία µε τ συγκεκριµέν πελάτη πιθανότατα θα διακπεί. Mη χρήσιµη αναπαραγωγή δεδµένων. Εφόσν η απθήκευση δεδµένων πρσδίδει επιπλέν κόστς στη λειτυργία τυ δικτύυ, η ύπαρξη ενός κεντρικπιηµένυ directory µπρεί να µειώσει σηµαντικά τ κόστς αυτό. Ασύµβατες µρφές απθήκευσης δεδµένων. Εξαιτίας τυ γεγνότς ότι τα δεδµένα απθηκεύνται µε διαφρετικές µρφές στυς διάφρυς directories, 11

12 ι εφαρµγές πυ είναι σχεδιασµένες ώστε να εκτελύνται χρησιµπιώντας δεδµένα ενός συγκεκριµένυ directory πρέπει να ανασχεδιαστύν ώστε να είναι δυνατή η εκτέλεσή τυς λαµβάνντας δεδµένα και από τυς υπόλιπυς directories τυ δικτύυ. Από τα παραπάνω γίνεται φανερό ότι η ζωή των διαχειριστών δικτύων θα γινόταν πλύ πι εύκλη αν υπήρχε ένας καθλικός directory για λόκληρ τ επιχειρησιακό δίκτυ. Με τη λέξη καθλικός εννείται ένας directory πυ θα ενπιεί την απθήκευση όλων των πληρφριών πυ πρέπει να απθηκεύνται σ αυτόν. 1.3 Λειτυργίες και λύσεις µιας καθλικής Directory Service Μέχρι τώρα, ι directories εξετάσθηκαν υπό την υπόθεση αριθµός τυς σε ένα επιχειρησιακό δίκτυ είναι πλλαπλός. Ωστόσ, τα πραγµατικά φέλη πυ µπρεί να απκµίσει µία επιχείρηση από τη χρήση των directory services γίννται πραγµατικότητα µε την ενπίηση όλων των directories σε έναν καθλικό πίς πλέν παίζει τ ρόλ ενός κινύ πόρυ τυ δικτύυ. Ο κινός αυτός πόρς επιτρέπει στυς χρήστες αλλά και στις εφαρµγές πυ εκτελύνται στ δίκτυ να εντπίζυν άµεσα τυς πόρυς πυ απαιτύνται για την εκτέλεση συγκεκριµένων λειτυργιών [11]. Με την ενπίηση, λιπόν, των directories ενός δικτύυ επιλύνται τα περισσότερα από τα πραναφερθέντα πρβλήµατα. Καταρχάς, µία νέα λειτυργία τυ δικτύυ καθίσταται δυνατή µε τη χρήση των directories. Ένα δίκτυ βασιζόµεν σε πλιτικές (Policy Based Network PBN) επιτρέπει στ διαχειριστή τυ δικτύυ την παρχή υψηλής πιότητας υπηρεσιών σε συγκεκριµένυς χρήστες και εφαρµγές αλλά και την παρχή υπηρεσιών χαµηλότερης πιότητας σε λιγότερ κρίσιµες εφαρµγές. Οι επιχειρήσεις χρησιµπιύν την τεχνλγία των PBNs για τη βελτιστπίηση της χρήσης τυ υπάρχντς εύρυς ζώνης, απφεύγντας, έτσι, τη δαπανηρή εγκατάσταση υψηλότερης ταχύτητας αγωγών αλλά και επιτυγχάνντας την επιθυµητή απόδση τυ δικτύυ. Ο directory απτελεί τ κρισιµότερ συστατικό ενός PBN, εφόσν ι πλιτικές (policies) πυ καθρίζυν τν 12

13 τρόπ λειτυργίας τυ δικτύυ βρίσκνται απθηκευµένες σ αυτόν και µε τν τρόπ αυτό γίννται διαθέσιµες σε συσκευές όπως hubs, routers και switches. Οι directories απτελύν τ πλέν κατάλληλ σηµεί για την απθήκευση των πληρφριών διαµόρφωσης των συσκευών πυ περιλαµβάννται σε ένα δίκτυ. Η υπστήριξη πυ παρέχυν για την αυτόµατη διαχείριση διαµόρφωσης (device configuration management) επιτρέπει στις δικτυακές συσκευές να λαµβάνυν τις παραµέτρυς διαµόρφωσής τυς απευθείας από τν directory. Tα φέλη µιας τέτιας πρσέγγισης είναι πρφανή, καθώς αν σε ένα δίκτυ υπάρχυν ήδη δέκα διαµρφωµένι routers, διαχειριστής τυ δικτύυ δεν θα πρέπει να ανησυχεί για τη διαµόρφωση τυ ενδέκατυ. Πρφανώς νές router θα αυτδιαµρφωθεί λαµβάνντας τις κατάλληλες παραµέτρυς από τν directory και αυτόµατα θα αρχίσει να λειτυργεί κάνντας έτσι δυνατή τη δηµιυργία ενός plug n play δικτύυ. Η υπστήριξη της ασφάλειας τυ δικτύυ απτελεί µία ακόµη πρφανή λειτυργία των directories. Οι απαραίτητες για την ασφάλεια τυ δικτύυ πληρφρίες, όπως usernames, passwords και certificates απθηκεύνται στν directory πίς επιτρέπει πλέν στυς χρήστες τ απλό login, κάτι πυ απαιτεί από αυτύς να πιστπιήσυν µία και µόν φρά την ταυτότητά τυς στν directory. Όλι ι υπόλιπι servers και ι εφαρµγές χρησιµπιύν τις πληρφρίες ελέγχυ πρόσβασης πυ βρίσκνται απθηκευµένες στν directory για να επιτρέψυν ή όχι την πρόσβαση στις υπηρεσίες τυς ενός συγκεκριµένυ χρήστη. Οι υπηρεσίες κίτρινων σελίδων (yellow pages) βρίσκνται, επίσης, στ πεδί δράσης των directories. Eίναι πλλές ι εφαρµγές πυ απευθύνυν ερωτήσεις πρς έναν directory αναζητώντας όλες τις ντότητες των πίων τα χαρακτηριστικά ικανπιύν συγκεκριµένα κριτήρια. Για παράδειγµα, µία εφαρµγή ηλεκτρνικύ εµπρίυ µπρεί να αναζητά όλες τις εταιρείες πυ κατασκευάζυν πρϊόντα ψηφιακύ ήχυ. Οι υπηρεσίες κίτρινων σελίδων είναι ιδιαίτερα χρήσιµες στ πεδί τυ ηλεκτνικύ εµπρίυ και καθώς αυτό επεκτείνεται λένα και σε περισσότερες επιχειρήσεις, είναι πρφανής η χρησιµότητα των directories στις επιχειρήσεις αυτές και η αύξηση της ζήτησης των directory services. Oι υπηρεσίες αυτές, πυ παρέχνται από τυς directories έχυν θετικό αντίκτυπ τόσ στη λειτυργία τυ επιχειρησιακύ δικτύυ όσ και γενικότερα στη λειτυργία 13

14 λόκληρης της επιχείρησης. Παρόλ πυ η χρήση των συγκεκριµένων υπηρεσιών είναι σε ρισµένες περιπτώσεις δαπανηρή, τ κόστς αυτό υπσκελίζεται από τ γεγνός ότι ι directories παρέχυν στις επιχειρήσεις τις παρακάτω δυνατότητες [13]: o o o o Άµεση απόκριση της επιχείρησης στις ανάγκες της αγράς. Η δυνατότητα µιας επιχείρησης να ενσωµατώσει άµεσα µία νέα τεχνλγία στις δικτυακές της εφαρµγές και η δυνατότητα κλιµάκωσης τυ δικτύυ της αυξάνει τις επιχειρηµατικές της ευκαιρίες λόγω της µεγάλης σηµασίας πυ έχει απκτήσει η χρήση των δικτύων στν σηµερινό επιχειρηµατικό κόσµ τόσ όσν αφρά τη µεταξύ των εταιρειών επικινωνία όσ και την επικινωνία µεταξύ των εταιρειών και των πρµηθευτών ή των πελατών τυς. Γρήγρη και απδτική, όσν αφρά τ κόστς, διαχείριση τυ δικτύυ. Εφόσν η διαχείριση τυ δικτύυ είναι κεντρικπιηµένη, τα σφάλµατα στη λειτυργία τυ δικτύυ µπρύν εύκλα να απµνωθύν και να διρθωθύν. Τ απτέλεσµα είναι η µείωση τυ κόστυς λειτυργίας τυ δικτύυ. Ακρίβεια δεδµένων. Τα συνλικά έξδα µιας επιχείρησης µειώννται σηµαντικά αν τα δεδµένα πυ χρειάζεται για τη λειτυργία της είναι ακριβή, κατεύθυνση πρς την πία δηγύν ι directory services. Παράδειγµα ελάττωσης των εξόδων απτελεί η απυσία λαθών σε λγαριασµύς και σε τιµλόγια. Συµβατότητα των απθηκευµένων δεδµένων. Η συµβατότητα των απθηκευµένων δεδµένων, όσν αφρά τη µρφή τυς, δίνει τη δυνατότητα σε όλες τις εφαρµγές πυ τα χρησιµπιύν να έχυν ενιαία όψη των δεδµένων της επιχείρησης. Με τν τρόπ αυτό δεν χρειάζεται η τρππίηση των δικτυακών εφαρµγών ανάλγα µε τα χρησιµπιύµενα δεδµένα για την εκτέλεσή τυς. Τ συµπέρασµα πυ µπρεί να εξαχθεί λαµβάνντας υπόψη τις πι πάνω εφαρµγές µιας directory service είναι ότι η χρήση των directories ως απλά ευρετήρια πληρφριών από χρήστες και εφαρµγές έχει πάψει να υφίσταται. Οι directories, πλέν, απθηκεύυν όλες τις πληρφρίες πυ αφρύν συγκεκριµένες ντότητες πυ υπάρχυν σε ένα δίκτυ. Τέτιες ντότητες είναι ι χρήστες, ι εφαρµγές, ι συσκευές και ι διάφρες υπηρεσίες. Οι πληρφρίες αυτές χρησιµπιύνται είτε από τις ίδιες 14

15 τις ντότητες, είτε από άλλυς χρήστες ή πργράµµατα πυ χρειάζνται την πρόσβαση σ αυτές. Εικόνα 1.3: Η αλλαγή τυ ρόλυ των directory services. Στην εικόνα 1.3 φαίνεται η αλλαγή τυ ρόλυ των directory services σε σχέση τόσ µε τα χαρακτηριστικά των νττήτων τα πία απθηκεύυν όσ και µε τις ντότητες πυ κάνυν χρήση των απθηκευµένων πληρφριών. 1.4 ιαφρές µεταξύ των Directories και των Βάσεων εδµένων Ο ρισµός των directories αναφέρει ότι πρόκειται για βάσεις δεδµένων (data bases) µε απτέλεσµα να δηµιυργείται σύγχυση ανάµεσα στις δύ αυτές έννιες. Οι directories απτελύν εξειδικευµένες βάσεις δεδµένων µε συγκεκριµένα χαρακτηριστικά πυ τυς διαφρπιύν από αυτές. Τ πρώτ από τα χαρακτηριστικά αυτά είναι τ γεγνός ότι ένας directory πρσπελαύνεται πλύ συχνά για λειτυργίες αναζήτησης και πλύ σπάνια για λειτυργίες εγγραφής. Για τ λόγ αυτό ι directories είναι βελτιστπιηµένι για 15

16 πρσπελάσεις ανάγνωσης. Οι πρσπελάσεις εγγραφής περιρίζνται στυς διαχειριστές συστηµάτων και στυς ιδικτήτης των συγκεκριµένων πληρφριών. Αντίθετα, µία βάση δεδµένων γενικύ σκπύ υπστηρίζει πρσπελάσεις ανάγνωσης και εγγραφής µε την ίδια βαρύτητα. Τ γεγνός ότι ι directories είναι βελτιστπιηµένι για την απθήκευση στατικών πληρφριών τυς κάνει ακατάλληλυς για απθήκευση πληρφριών πυ αλλάζυν ταχύτατα. Για παράδειγµα, αριθµός των εργασιών πυ βρίσκνται στην υρά ενός εκτυπωτή δεν θα πρέπει να απθηκεύεται σε κάπιν directory, επειδή µία τέτια πληρφρία θα πρέπει να ανανεώνεται συχνότατα ώστε να είναι ακριβής. Αντίθετα, η διεύθυνση ενός print server απτελεί χαρακτηριστικό παράδειγµα πληρφρίας πυ απθηκεύεται σε έναν directory. Ένα άλλ χαρακτηριστικό των directories είναι τ γεγνός ότι δεν µπρύν να υπστηρίξυν transactions, δηλαδή λειτυργίες ι πίες πρέπει είτε να λκληρωθύν πωσδήπτε ή, αν αυτό δεν είναι δυνατόν, να µην ξεκινήσυν καθόλυ. Παράδειγµα τέτιας λειτυργίας απτελεί η µεταβίβαση κεφαλαίυ µεταξύ τραπεζικών λγαριασµών η πία δεν επιτρέπεται να διακπεί πριν την λκλήρωσή της και φυσικά υπστηρίζεται από ένα κλασσικό σύστηµα διαχείρισης βάσεων δεδµένων. Οι directories είναι συνήθως περιρισµένι ως πρς τυς τύπυς των δεδµένων πυ επιτρέπεται να απθηκεύσυν. Έτσι, ένας directory εξειδικευµένς για την απθήκευση στιχείων των πελατών µιας επιχείρησης µπρεί να είναι περιρισµένς ώστε να απθηκεύει µόν στιχεία όπως τ όνµα τυ κάθε πελάτη, η διεύθυνσή τυ και τηλεφωνικός τυ αριθµός. Τέλς, µία πλύ σηµαντική διαφρά ανάµεσα στυς directories και στις βάσεις δεδµένων αφρά τν τρόπ πρσπέλασής τυς. Οι περισσότερες βάσεις δεδµένων υπστηρίζυν µία πλύ ισχυρή µέθδ πρσπέλασης µέσω της γλώσσας SQL (Structured Query Language). Η SQL επιτρέπει πλύπλκες λειτυργίες ερώτησης και ανανέωσης της βάσης. Από την άλλη µεριά ι directories χρησιµπιύν ένα συγκεκριµέν πρωτόκλλ ελέγχυ πρόσβασης (access protocol) όπως τ Χ.500 και τ LDAP. 16

17 1.5 Directory Clients & Servers (Πελάτες και Εξυπηρετητές) Οι directories πρσπελαύννται συνήθως χρησιµπιώντας τ µντέλ clientserver. Μία εφαρµγή πυ θέλει να διαβάσει ή να γράψει πληρφρίες στν directory καλεί µία συνάρτηση (function) η πία πρκαλέι την απστλή ενός µηνύµατς σε µία άλλη διαδικασία. Η διαδικασία αυτή πρσπελαύνει την πληρφρία στν directory και τα απτελέσµατα της ανάγνωσης ή της εγγραφής επιστρέφνται στην αρχική εφαρµγή όπως φαίνεται στην εικόνα 1.4. Εικόνα 1.4: Αλληλεπίδραση µεταξύ client και server H εφαρµγή πυ ζητά την πρσπέλαση τυ directory νµάζεται directory client ενώ η διαδικασία πυ διεκπεραιώνει αυτή την απαίτηση νµάζεται directory server. Γενικά ι servers παρέχυν συγκεκριµένες υπηρεσίες στυς clients. Πλλές φρές ένας server είναι δυνατόν να µετατραπεί σε client έτσι ώστε να συγκεντρώσει τις απαραίτητες πληρφρίες για τη διεκπεραίωση µιας αίτησης. 17

18 2. Χ.500 To X.500 απτελεί µία σειρά πρτύπων τα πία αναπτύχθηκαν από την ISO/ITU-T και καθρίζυν τν τρόπ µε τν πί ι πληρφρίες απθηκεύνται και πρσπελαύννται σε µία directory service. Η σειρά αυτή των πρτύπων δηµσιεύθηκε για πρώτη φρά τ 1988 αλλά ανανεώθηκε τ 1993 και τ Σήµερα, ι περισσότερι Χ.500 directory servers ακλυθύν τ πρότυπ τυ 1993 έχντας υιθετήσει και αρκετά χαρακτηριστικά τυ πρτύπυ τυ 1997 [17]. Τα πρότυπα αυτά δεν καθρίζυν τις εσωτερικές λειτυργίες ενός X.500 server. Αντίθετα, επικεντρώννται στη δµή της πληρφριών πυ απθηκεύνται σε έναν Χ.500 server αλλά και στν τρόπ επικινωνίας τυ µε τυς clients πυ απαιτύν πρόσβαση στις συγκεκριµένες πληρφρίες. Μία καθλική directory service είναι συχνά σχεδιασµένη έτσι ώστε directory και η διαχείρισή τυ να βρίσκνται κατανεµηµένι σε µεγάλ αριθµό από ξεχωριστύς directory servers. To X.500 επιτρέπει σε ένα χρήστη να απευθύνει ερωτήσεις σε πινδήπτε από τυς directory servers, να λαµβάνει µία ενιαία όψη της καθλικής directory service και να διατυπώνει απαιτήσεις για πρόσβαση σε συγκεκριµένες πληρφρίες ι πίες µπρύν να βρίσκνται σε πινδήπτε server πίς απτελεί µέρς τυ καθλικύ directory. 2.1 Συστατικά µιας Χ.500 Directory Service Τ Χ.500, για να µπρεί να παρέχει µία καθλική directory service, καθρίζει ένα πλύπλκ και βαρύ σύνλ πρτύπων. Τα πρότυπα αυτά απαιτύν από µία directory service να υπστηρίζει τα παρακάτω χαρακτηριστικά [5]: o Ιεραρχική νµατλγία η πία καθρίζει τν τρόπ µε τν πί ργανώννται ι πληρφρίες αλλά και τν τρόπ µε τν πί µπρεί να γίνει η αναφρά σ αυτές. 18

19 o o o o Τ πληρφριακό µντέλ (information model) πυ περιγράφει τη µρφή και τη δµή (schema) των πληρφριών πυ απθηκεύνται στν directory. Η έννια τυ schema είναι ανάλγη µε την περίπτωση ενός εντύπυ στ πί πρέπει να σηµειωθύν συγκεκριµένες πληρφρίες σε συγκεκριµένες θέσεις. Οπισδήπτε µπρεί να κατανήσει τη δµή πυ απαιτείται να έχυν ι πληρφρίες, µπρεί και να συµπληρώσει τ έντυπ. Τ λειτυργικό µντέλ (functional model) πυ καθρίζει τ πρωτόκλλ πρόσβασης (directory access protocol) καθώς και τις λειτυργίες πυ µπρύν να επιτελεστύν επί των απθηκευµένων πληρφριών (read, write, search, authenticate). To µντέλ πιστπίησης της ταυτότητας (authentication model) πυ πρστατεύει τις απθηκευµένες πληρφρίες από µη εξυσιδτηµένη πρόσβαση. Τ µντέλ κατανεµηµένης λειτυργίας (distributed operation model) πυ περιγράφει τν τρόπ µε τν πί τα δεδµένα κατανέµνται στυς διάφρυς servers και τις λειτυργίες πυ πρέπει να εκτελύνται για τ συγχρνισµό τυ καθλικόύ directory. 2.2 Η δενδρική δµή τυ X.500 Οι καταχωρήσεις σε έναν directory διευθετύνται µε βάση µία ιεραρχική, δενδρειδή δµή η πία αντανακλά πλιτικά όρια, γεωγραφικά όρια ή όρια ανάµεσα στα τµήµατα µιας επιχείρησης. Η δµή αυτή νµάζεται πληρφριακό δένδρ (Directory Information Tree - DIT). Μεταξύ ενός συνόλυ νµάτων και των χαρακτηριστικών πυ περιγράφυν τις ντότητες oι πίες έχυν τα συγκεκριµένα νόµατα υπάρχει µία καλά καθρισµένη σχέση, όπως φαίνεται και στην εικόνα 2.1, η διατήρηση της πίας απτελεί ευθύνη τυ directory. Kάθε ντότητα τυ DIT έχει µναδικό όνµα τ πί νµάζεται Distinguished Name (DN). Τ DN µιας συγκεκριµένης ντότητας καθρίζεται από τη σχετική θέση της ντότητας αυτής στ DIT. Για παράδειγµα, τ DN της Sue Smith θα είναι 19

20 Santa_Clara; Bldg_200; Floor_3; Sue_Smith. Η λειτυργία των DNs είναι παρόµια µε τη λειτυργία των URLs, τα πία παρέχυν πρόσβαση σε µναδικές σελίδες τυ World Wide Web. Με παρόµι τρόπ τα DNs παρέχυν πρόσβαση σε µναδικες ντότητες τυ directory. Eικόνα 2.1: Χ.500 Directory Information Tree. Κάθε ντότητα αντιπρσωπεύεται από µία συγκεκριµένη καταχώρηση στ DIT και περιλαµβάνει ένα σύνλ χαρακτηριστικών. Τα χαρακτηριστικά αυτά περιέχυν τις απθηκευµένες πληρφρίες για κάθε ντότητα. Για παράδειγµα, τα χαρακτηριστικά πυ συνδένται µε την ντότητα Sue_Smith είναι κωδικός αριθµός της, τ τµήµα στ πί εργάζεται, τ όνµα τυ πρϊσταµένυ της, αριθµός τηλεφώνυ της, η ηλεκτρνική της διεύθυνση, η IP address τυ workstation της, τ login name και τ password της καθώς και τα δικαιώµατα πρόσβασής της στ δίκτυ κ.τ.λ. Εφόσν διαχειριστής τυ δικτύυ πρέπει να διατηρεί πληρφρίες για διαφρετικύς τύπυς νττήτων, τ σύνλ των χαρακτηριστικών πυ αντιστιχύν σε έναν εργαζόµεν είναι, σαφώς, διαφρετικό από τ σύνλ των χαρακτηριστικών πυ αντιστιχύν σε έναν printer, σε έναν router ή σε έναν file server. Επµένως, κάθε καταχώρηση στ DIT πρέπει να περιλαµβάνει ένα χαρακτηριστικό µε τ όνµα objectclass. Τ χαρακτηριστικό αυτό καθρίζει τν τύπ της ντότητας (εργαζόµενς, switch, router κ.τ.λ) πυ αντιστιχεί στη συγκεκριµένη καταχώρηση όπως, επίσης, και 20

21 πια χαρακτηριστικά είναι απαραίτητ να έχυν κάπια τιµή και πια όχι. Τ σύνλ των χαρακτηριστικών πυ απθηκεύνται για µία συγκεκριµένη ντότητα απτελεί τ schema της ντότητας αυτής. 2.3 Τ λειτυργικό µντέλ τυ X.500 To DIT, πυ καθρίζει στην υσία τη δµή ενός X.500 directory, απτελεί ένα µόν µέρς της καθλικής directory service. Τ Χ.500 καθρίζει, επίσης, τυς τύπυς των πρακτόρων (agents) και τα πρωτόκλλα πυ εκτελλύνται σε διάφρυς servers και παρέχυν πρόσβαση στις απθηκευµένες στν directory πληρφρίες. Η εικόνα 2.2 απεικνίζει τ λειτυργικό µντέλ ενός Χ.500 directory. Eικόνα 2.2: Τ λειτυργικό µντέλ ενός X.500 Directory. Ένας Χ.500 directory απτελείται από ένα σύνλ πρακτόρων συστήµατς directory (Directory System Agents DSAs) ι πίι βρίσκνται κατανεµηµένι σε λόκληρ τ δίκτυ µιας επιχείρησης. Κάθε DSA διατηρεί ένα µόν µέρς των πληρφριών λόκληρης της πληρφριακής βάσης τυ directory (Directory Information Base DIB) τ πί νµάζεται τεµάχι (fragment). Ένας DSA µπρεί να απαντά σε ερωτήµατα σχετικά µε πληρφρίες πυ βρίσκνται στ δικό τυ fragment ή 21

22 να πρωθεί τα ερωτήµατα στυς κατάλληλυς DSAs πυ περιέχυν τις συγκεκριµένες πληρφρίες. Η λειτυργία αυτή είναι συνδετικός κρίκς πυ συντηρεί την κατανεµηµένη X.500 directory service. Oι πράκτρες-χρήστες τυ directory (Directory User Agents DUAs) είναι είτε αυτόνµα πργράµµατα είτε διαδικασίες µέσα σε εφαρµγές ι πίες παρέχυν τη διασύνδεση (interface) ανάµεσα στην επιφάνεια εργασίας (desktop) τυ χρήστη και σε έναν τπικό DSA. Ένας DUA επικινωνεί µε έναν DSA µέσω τυ πρωτκόλλυ πρόσβασης στν directory (Directory Access Protocol DAP). Ένα δεύτερ πρωτόκλλ, τ πρωτόκλλ υπηρεσίας directory (Directory Service Protocol DSP), µεταδίδει ένα ερώτηµα µεταξύ των DSAs όταν αυτό δεν µπρεί να απαντηθεί από έναν τπικό DSA. Tέλς, ένα τρίτ πρωτόκλλ, τ πρωτόκλλ αντιγραφής πληρφρίας τυ directory (Directory Information Shadowing Protocol DISP), επιτρέπει την αντιγραφή των πληρφριών πυ διατηρύνται σε έναν DSA και σε άλλυς DSAs. Τ DISP είναι ένα πλύ ισχυρό εργαλεί, αφύ επιτρέπει σε πλλαπλά αντίγραφα των πληρφριών να ικανπιύν τα ερωτήµατα των χρηστών, κάτι πυ δηγεί σε βελτίωση της απόδσης τυ δικτύυ και σε αύξηση της αντχής τυ σε σφάλµατα (fault tolerance). Όταν ένα ερώτηµα δεν µπρεί να απαντηθεί από έναν DSA, τότε θα πρέπει να διαδθεί στυς υπόλιπυς DSAs. Η διάδση αυτή µπρεί να γίνει µε τυς εξής τρόπυς [17]: o Chaining (αλυσιδωτός): Αν ένας DSA δεν έχει τη ζητύµενη πληρφρία, τ ερώτηµα µεταδίδεται στν επόµεν. Αν η πληρφρία δεν υπάρχει ύτε σ αυτόν, τ ερώτηµα µεταδίδεται στν επόµεν κ..κ. Αν κανείς από τυς DSAs δεν περιέχει τη ζητύµενη πληρφρία, τότε µπρεί να πρκληθεί ένας ατέρµων βρόχς. Για την απφυγή αυτύ τυ φαινµένυ, διατηρείται ένας κατάλγς µε όλυς τυς DSAs πυ έχυν ερωτηθεί έτσι ώστε να απφεύγεται η δεύτερη πρσπέλαση τυ ίδιυ DSA. Mε την τεχνική αυτή δίνεται η εντύπωση στυς DUAs ότι υπάρχει ένας µόν DSA o oπίς απαντά στα ερωτήµατά τυς και ι πιθανές απαντήσεις είναι δύ. Είτε επιστρέφεται η ζητύµενη πληρφρία, ή επιστρέφεται ένα µήνυµα λάθυς πυ σηµαίνει ότι η 22

23 o o ζητύµενη πληρφρία δεν βρίσκεται στν directory ή ότι πρέκυψε κάπι σφάλµα κατά την αναζήτησή της. Referral (αναφρικός): Αν η ζητύµενη πληρφρία δεν βρίσκεται σε έναν DSA, αυτός στέλνει ένα µήνυµα πρς τν DUA παραπέµπτντάς τν σε έναν άλλ DSA. Ο DUA πρέπει να έχει τη δυνατότητα απκωδικπίησης τυ µηνύµατς ώστε να απκαταστήσει µία σύνδεση µε τν αναφερόµεν DSA. H διαδικασία αυτή συνεχίζεται µέχρι τη λήψη της ζητύµενης πληρφρίας. Ο referral τρόπς διάδσης τυ ερωτήµατς απαιτεί µεγαλύτερη πλυπλκότητα των DUAs, εφόσν θα πρέπει να είναι ικανί να απκωδικπιύν τα µηνύµατα πυ λαµβάνυν από τυς DSAs και χρησιµπιείται συνήθως σε περιπτώσεις όπυ είναι απαραίτητ ένα υψηλό επίπεδ ασφάλειας. Η ασφάλεια παρέχεται µε την απαίτηση κάθε DSA να λαµβανει πιστπίηση ταυτότητας από τν DUA πυ τν πρσπελαύνει. Μulticasting (πλλαπλή εκπµπή): Όταν χρησιµπιείται multicasting πρώτς DSA στέλνει τ ερώτηµα ταυτόχρνα σε πλλύς DSAs. Οι απαντήσεις από κάθε DSA συνδυάζνται και επιστρέφνται στν DUA ως µία απάντηση. Υπάρχυν δύ τρόπι πλλαπλής εκπµπής τυ ερωτήµατς. Μπρεί να σταλεί σε πλλύς DSAs είτε σύγχρνα είτε σειριακά. Όσν αφρά την ανάκτηση της πληρφρίας από έναν X.500 directory, αυτή µπρεί να γίνει µε µία από τις πρακάτω λειτυργίες: o o o o Read: Εξάγει πληρφρίες για µία ρητά καθρισµένη ντότητα πυ βρίσκεται απθηκευµένη στν directory. Compare: Συγκρίνει µία τιµή πυ παρέχει χρήστης µε µία συγκεκριµένη τιµή στν directory. List: Παρέχει πληρφρίες για όλα τα παιδιά µιας καταχώρησης στ DIT. Search: Παρέχει παρόµια λειτυργικότητα µε τη List αλλά για ένα συγκεκριµέν µερς τυ DIT. Οι Boolean τελεστές AND, NOT και OR µπρύν να χρησιµπιηθύν για τ φιλτράρισµα των εξαγόµενων πληρφριών. 23

24 2.4 Μεινεκτήµατα τυ Χ.500 Παρά τ στιβαρό και κατανητό σύνλ χαρακτηριστικών τυ Χ.500, υπάρχυν πλλί λόγι για τυς πίυς δεν έχει υλπιηθεί µεγάλς αριθµός X.500 directories σε επιχειρησιακά δίκτυα: Τ λγισµικό των X.500 servers είναι πλύπλκ και παρυσιάζνται εξαιρετικές δυσκλίες στη συνεργασία τυ µε τις σχετικά απλές directory services των επιχειρησιακών δικτύων. Υπάρχυν πλύ λίγα πακέτα λγισµικύ για X.500 clients τα πία είναι συνήθως πλύπλκα και µε µεγάλες απαιτήσεις σε υπλγιστική ισχύ, κάτι πυ καθιστά δύσκλη τη λειτυργία τυς σε απλά PC. To X.500 είναι στενά συνδεδεµέν µε τα πρωτόκλλα τυ µντάλυ ΟSI και είναι πλύ δύσκλη η υλπίησή τυ πάνω από TCP/IP. Γενικά, καθώς τ X.500 είναι ένα πρωτόκλλ τυ επιπέδυ εφαρµγής (application level) τυ µντέλυ OSI για την επικινωνία ενός DUA µε έναν DSA µέσω τυ DAP χρησιµπιείται η στίβα πρωτκόλλων τυ µντέλυ OSI. To πρόβληµα είναι ότι η στίβα των πρωτκόλλων τυ µντέλυ OSI απαιτεί τεράστια πσά µνήµης και µεγάλη υπλγιστική ισχύ. Για τ λόγ αυτό η υλπίηση X.500 directory services είναι πρβληµατική ακόµη και µε τη βήθεια των σηµερινών πλύ ισχυρών υπλγιστικών συστηµάτων. 24

25 3. LDAP (Lightweight Directory Access Protocol) To Lightweight Directory Access Protocol (LDAP) άρχισε να αναπτύσσεται στις αρχές της δεκαετίας τυ 90 στ Πανεπιστήµι τυ Michigan ως µία ελαφριά εναλλακτική λύση στ βαρύ DAP τυ Χ.500. Τ LDAP είναι σε σχέση µε τ Χ.500 ότι τ ΙP σε σχέση µε τ OSI. ίνει περισσότερη έµφαση στν ελαφρύ και λειτυργικό κώδικα παρά στα αυστηρά πρότυπα (standards), δεδµένης της άµεσης ανάγκης της αγράς για directory services. To LDAP σχεδιάστηκε έτσι ώστε να παρέχει τις σηµαντικότερες λειτυργίες τυ DAP, καθιστώντας, όµως, πι εύκλη την υλπίηση τυς στην πλευρά των clients και ιδιαίτερα στην πλευρά των servers. H εξέλιξη τυ LDAP έχει καταγραφεί σε ένα σύνλ Requests For Comments (RFCs) της Ιnternet Engineering Task Force (IETF) [5]: RFC 1487 (Ιύλις 1993): LDAPv1 RFC 1777 (Μάρτις 1995): LDAPv2 RFC 2251 ( εκέµβρις 1997): LDAPv3 To LDAP αναπτύχθηκε απλά ως πρωτόκλλ πρόσβασης directory (directory access protocol) και όχι ως λκληρωµέν standard σαν τ Χ.500. To LDAP καθρίζει µόν τν τρόπ µε τν πί ένας client επικινωνεί µε έναν server για τη λήψη πληρφριών. εν καθρίζει τη λειτυργία λόκληρης της directory service. To σηµαντικότερ πλενέκτηµα τυ LDAP είναι ότι παρέχει έναν τυππιηµέν µηχανισµό πυ επιτρέπει σε πινδήπτε client ή server και σε πιαδήπτε εφαρµγή την πρόσβαση σε µία directory service πυ υπστηρίζει LDAP. Στα αριστερά της εικόνας 3.1 client είναι υπχρεωµένς να εκτελεί πλλά πρωτόκλα, ένα για κάθε directory service πυ θέλει να πρσπελάσει. Στα δεξιά, o client χρειάζεται µόν να εκτελεί τ LDAP ώστε να έχει πρόσβαση σε όλες τις directory services. Ο διαχειριστής τυ δικτύυ εξακλυθεί να διαχειρίζεται πλλαπλές directory services αλλά καθένας από τυς directories πρσπελαύνεται µέσω ενός κινύ πρωτκόλλυ πρόσβασης, τυ LDAP. 25

26 Eικόνα 3.1: Τ LDAP παρέχει τυππιηµένη πρόσβαση σε κάθε directory. 3.1 Τ LDAP ως λκληρωµένη Directory Service To LDAP καθρίζει ένα πρωτόκλλ επικινωνίας, δηλαδη καθρίζει τη µρφή και τν τρόπ µεταφράς των µηνυµάτων πυ χρησιµπιύνται από έναν client για την πρσπέλαση δεδµένων πυ βρίσκνται σε έναν X.500 directory. Αυτό σηµαίναι ότι τ LDAP δεν καθρίζει όλες τις πλευρές µιας directory service. Παρόλα αυτά υφίσταται όρς LDAP directory, η σηµασία τυ πίυ θα πρέπει να διασαφηνιστεί. Eικόνα 3.2: Ο LDAP server δρα ως πύλη τυ Χ.500 server. Μία client εφαρµγή αρχικπιεί ένα µήνυµα LDAP καλώντας ένα LDAP API (Application Programming Interface). Ωστόσ, ένας X.500 directory δεν καταλαβαίνει 26

27 τα µηνύµατα LDAP. Στην πραγµατικότητα ένας LDAP client και ένας X.500 server χρησιµπιύν διαφρετικά πρωτόκλλα επικινωνίας (TCP/IP και OSI αντιστίχως). Έτσι, LDAP client επικινωνεί µε µία πύλη (gateway) η πία πρωθεί τα µηνύµατα στν X.500 server, όπως φαίνεται και στην εικόνα 3.2. Aυτή η πύλη νµάζεται LDAP server και εξυπηρετεί τις απαιτήσεις ενός LDAP client µετατρεπόµενς ίδις σε client τυ X.500 server. Eπµένως LDAP server πρέπει να χρησιµπιεί τόσ τ TCP/IP όσ και τ OSI. Mε την αύξηση της χρήσης τυ LDAP και την αναγνώριση των ωφελειών τυ, ι επιχειρήσεις πυ δεν είχαν X.500 servers ή τ κατάλληλ περιβάλλν για την υπστήριξή τυς θέλησαν να αναπτύξυν directories πρσπελάσιµυς από LDAP clients. H πρφανής λύση ήταν η απθήκευση των directories σε LDAP servers. Η πρσέγγιση αυτή εξαλείφει την ανάγκη χρήσης της στίβας πρωτκόλλων τυ OSI. Βέβαια, LDAP server γίνεται πλύ περισσότερ πλύπλκς καθώς πρέπει να απθηκεύει τις καταχωρήσεις τυ directory. Ένας τέτις LDAP server νµάζεται αυτόνµς (stand-alone) LDAP server γιατί δεν εξαρτάται πλέν από τν X.500 server. Εφόσν τ LDAP δεν υπστηρίζει όλες τις λειτυργίες τυ X.500, ένας αυτόνµς LDAP server πρέπει να υπστηρίζει µόν τις λειτυργίες πυ απαιτύνται από τ LDAP Eικόνα 3.3: Αυτόνµς LDAP server. Aπό την πτική γωνία τυ client, κάθε server πυ τρέχει τ πρωτόκλλ LDAP είναι ένας LDAP directory server, είτε τρέχει στην πραγµάτικότητα τ LDAP, είτε απτελεί πύλη ενός Χ.500 server. Παρµίως, κάθε directory πρσπελάσιµς µέσω τυ LDAP νµάζεται LDAP directory. 27

28 3.2 Aρχιτεκτνική τυ LDAP To LDAP έχει αναπτυχθεί ανεξάρτητα από τ Χ.500 και υπάρχυν σήµερα πλλί servers πυ βασίζνται απκλειστικά στ LDAP και όχι στ Χ.500. Η επιτυχία τυ LDAP βασίζεται σε µεγάλ βαθµό στα παρακάτω χαρακτηριστικά πυ τ καθιστύν εύκλ στην υλπίηση, συγκρινόµεν µε τ Χ.500 και τ DAP [6]: To LDAP τρέχει πάνω από τ TCP/IP και όχι από τη στίβα πρωτκόλλων τυ OSI. Τ TCP/IP είναι λιγότερ απαιτητικό σε πόρυς και πλύ περισσότερ ευρέως διαθέσιµ. Τ λειτυργικό µντέλ τυ LDAP είναι απλύστερ, καθώς παραλείπει σπάνια χρησιµπιύµενα και εσωτερικά χαρακτηριστικά. Τ γεγνός αυτό κάνει τ LDAP ευκλότερ στην κατανόηση και στην υλπίηση. Τ LDAP χρησιµπιεί σειρές χαρακτήρων (strings) για την αναπαράσταση των δεδµένων και όχι πλύπλκα δµηµένα συντακτικά. Τ LDAP καθρίζει τ περιεχόµεν και τη µρφή των µηνυµάτων πυ ανταλλάσσνται ανάµεσα στν LDAP client και τν LDAP server. Τα µηνύµατα αυτά πρσδιρίζυν τις λειτυργίες πυ client ζητά από τν server και µεταφέρνται µέσω τυ πρωτκόλλυ TCP/IP. Ωστόσ, για τ σχεδιαστή ενός LDAP directory, σηµασία έχει όχι η µρφή των ανταλλασσόµενων µηνυµάτων αλλά τ πώς είναι ργανωµένες ι πληρφρίες στν directory, πιες είναι ι δυνατές λειτυργίες επί των πληρφριών αυτών, πώς πρστατεύνται κ..κ. Τ LDAP µπρεί να γίνει ευκλότερα κατανητό µε την εξέταση των µντέλων στα πία βασίζεται: Information model (πληρφριακό µντέλ): Καθρίζει τη δµή των πληρφριών πυ απθηκεύνται σε έναν LDAP directory. Naming model (µντέλ νµατλγίας): Περιγράφει τν τρόπ µε τν πί ργανώννται ι πληρφρίες στν directory. Functional model (λειτυργικό µντέλ): Πρσδιρίζει τις λειτυργίες πυ µπρύν να επιτελεσθύν επί των απθηκευµένων στν directory πληρφριών. 28

29 Security model (µντέλ ασφάλειας): Καθρίζει τν τρόπ πρστασίας των πληρφριών από µη εξυσιδτηµένη πρόσβαση Τ πληρφριακό µντέλ Η βασική µνάδα πληρφρίας πυ απθηκεύεται στν directory νµάζεται καταχώρηση (entry). Οι καταχωρήσεις αναπαριστύν αντικείµενα τυ πραγµατικύ κόσµυ όπως ανθρώπυς, ργανισµύς κ.τ.λ. Οι καταχωρήσεις απτελύνται από ένα σύνλ χαρακτηριστικών (attributes) πυ περιέχυν πληρφρία σχετικά µε τ αντικείµεν. Κάθε χαρακτηριστικό έχει έναν τύπ (type), πυ καθρίζει τι τιµές µπρεί να πάρει, και µία ή περισσότερες τιµές. Η σχέση µεταξύ µίας καταχώρησης, των χαρακτηριστικών της και των τιµών τυς φαίνεται στην εικόνα 3.4. Εικόνα 3.4: Καταχωρήσεις, χαρακτηριστικά και τιµές. Στν πίνακα 3.1 φαίννται ρισµένα συνηθισµένα χαρακτηριστικά. Κάπια χαρακτηριστικά έχυν εναλλακτικά νόµατα τα πία µπρύν να χρησιµπιηθύν πυδήπτε χρησιµπιύνται και τα καννικά νόµατα. Για παράδειγµα, τ εναλλακτικό όνµα cn µπρεί να χρησιµπιηθεί πυδήπτε γίνεται αναφρά στ χαρακτηριστικό commonname. 29

30 Πίνακας 3.1: Συνηθισµένα χαρακτηριστικά. Τα schemas (σχήµατα) καθρίζυν τν τύπ των αντικειµένων πυ µπρύν να απθηκευτύν στν directory. Επίσης, καθρίζυν τα χαρακτηριστικά των αντικειµένων και αν αυτά είναι υπχρεωτικά ή πραιρετικά. Για παράδειγµα, στν καθρισµό τυ αντικειµένυ πρόσωπ, τ χαρακτηριστικό επώνυµ είναι υπχρεωτικό ενώ τ χαρακτηριστικό περιγραφή είναι πραιρετικό. Ο έλεγχς τυ schema επιβεβαιώνει ότι όλα τα υπχρεωτικά χαρακτηριστικά ενός αντικειµένυ απθηκεύνται ενώ τα πραιρετικά µπρύν να συµπληρωθύν πτεδήπτε. Ο πίνακας 3.2 απεικνίζει ένα µέρς ενός κινύ schema. Πίνακας 3.2: Κλάσεις αντικειµένων και υπχρεωτικά χαρακτηριστικά. 30

31 Ορισµένα αντικείµενα παράγνται από άλλα αντικείµενα. Για παράδειγµα, αν έχει ήδη καθριστεί µία κλάση αντικειµένων µε όνµα person, τότε µία νέα κλάση µε όνµα organizationalperson µπρεί να δηµιυργηθεί, η πία θα περιέχει τα ίδια χαρακτηριστικά µε την person και επιπλέν τα χαρακτηριστικά title και officenumber. Η κλάση person νµάζεται υπερκλάση ενώ η organizationalperson υπκλάση. Τέλς, κάθε καταχώρηση έχει ένα ειδικό χαρακτηριστικό πυ νµάζεται objectclass. H τιµή τυ χαρακτηριστικύ αυτύ καθρίζει την κλάση αντικειµένων πυ αντιπρσωπεύει η καταχώρηση To µντέλ νµατλγίας Τ µντέλ νµατλγίας τυ LDAP καθρίζει τν τρόπ µε τν πί ργανώννται και πρσδιρίζνται ι καταχωρήσεις. Η ργάνωσή τυς γίνεται µε βάση µία δενδρειδή δµή πυ, όπως και στ Χ.500, νµάζεται Directory Information Tree (DIT). Oι καταχωρήσεις ργανώννται µέσα στ DIT µε βάση τ αναγνωριστικό τυς όνµα (Distinguished Name DN). To DN είναι ένα µναδικό όνµα για κάθε ντότητα πυ την πρσδιρίζει µνσήµαντα και απτελείται από µιία σειρά σχετικών αναγνωριστικών νµάτων (RDNs). Kάθε RDN σε ένα DN αντιστιχεί σε ένα κλαδί τυ DIT πυ δηγεί από τη ρίζα στη συγκεκριµένη καταχώρηση. Κάθε RDN εξάγεται από τα χαρακτηριστικά της συγκεκριµένης καταχώρησης. Στην απλύστερη περίπτωση, ένα RDN έχει τη µρφή <attribute name>=<value> και τ DN απτελείται από µία σειρά RDNs χωρισµένα µε κόµµα. Στην εικόνα 3.5 φαίνεται ένα παράδειγµα ενός DIT. Kάθε ρθγώνι παριστάνει µία καταχώρηση. Η ρίζα τυ DIT δεν υφίσταται στην πραγµατικότητα, ενώ τα χαρακτηριστικά καταγράφνται µέσα σε κάθε καταχώρηση. Η ργάνωση των καταχωρήσεων τυ DIT περιρίζεται από τν τρόπ µε τν πί έχυν καθριστεί ι κλάσεις αντικειµένων πυ καταχωρύνται σ αυτό. Είναι σύνηθες τ φαινόµεν να ακλυθείται µία γεωγραφική ή ργανωσιακή διάταξη. Για παράδειγµα, ι καταχωρήσεις πυ αντιπρσωπεύυν χώρες βρίσκνται στην κρυφή 31

32 τυ DIT. Kάτω από τις χώρες µπρεί να βρίσκνται εθνικί ργανισµί, πλιτείες, περιφέρειες κ.τ.λ. Στ επόµεν επίπεδ, ι καταχωρήσεις µπρεί να αντιπρσωπεύυν επιπρόσθετες υπδιαιρέσεις των ργανισµών ή των περιφερειών. Τέλς, στ χαµηλότερ επίπεδ βρίσκνται ι καταχωρήσεις πυ αντιπρσωπεύυν πιδήπτε αντικείµεν όπως πρόσωπα, εκτυπωτές, servers κ.τ.λ. Τ βάθς τυ DIT δεν είναι αυστηρά περιρισµέν και πρσαρµόζεται στις ανάγκες της συγκεκριµένης εφαρµγής. Εικόνα 3.5: Ένα Directory Information Tree (DIT). Oι καταχωρήσεις νµάζνται ανάλγα µε τη θέση τυς στ DIT. H καταχώρηση στην κάτω δεξιά γωνία της εικόνας 3.5 έχει τ DN ch=john Smith, o=ibm, c=de. Τα DNs διαβάζνται από τα φύλλα πρς τη ρίζα, σε αντίθεση µε τα νόµατα των αρχείων. Τ DN µίας καταχώρησης καθρίζεται µε την είσδό της στ DIT. 32

33 3.2.3 To λειτυργικό µντέλ Τ LDAP πρσδιρίζει τις λειτυργίες για την πρσπέλαση και την τρππίηση των καταχωρήσεων τυ DIT. Oι λειτυργίες αυτές µπρύν να διαιρεθύν στις παρακάτω κατηγρίες: Ερώτηση (query): Περιλαµβάνει τις λειτυργίες αναζήτησης και σύγκρισης, πυ χρησιµπιύνται για την εξαγωγή πληρφρίας από τν directory. Eνηµέρωση (update): Περιλαµβάνει τις λειτυργίες της πρόσθεσης, διαγραφής και τρππίησης πυ χρησιµπιύνται για την ενηµέρωση των πληρφριών πυ απθηκεύνται στν directory. Πιστπίηση ταυτότητας (authentication): Περιλαµβάνει τις λειτυργίες σύνδεσης, απσύνδεσης και εγκατάλειψης πυ χρησιµπιύνται για τη σύνδεση σε έναν LDAP server και την απόδση δικαιωµάτων πρόσβασης Τ µντέλ ασφάλειας Τ µεντέλ ασφάλειας τυ LDAP βασίζεται στις λειτυργίες σύνδεσης. Υπάρχυν πλλές λειτυργίες σύνδεσης και επµένως µηχανισµός ασφάλειας πυ υλπιείται σε κάθε περίπτωση είναι διαφρετικός. Μία περίπτωση είναι, όταν ένας client ζητά πρόσβαση να παρέχει ένα DN πυ πρσδιρίζει τν εαυτό τυ καθώς και ένα password καιµένυ. Αν δεν έχυν ριστεί τα DN και password, εγκαθίσταται µία ανώνυµη σύνδεση. Η χρήση passwords κειµένυ δεν ενδείκνυται όταν η υπηρεσία µεταφράς των δεδµένων δεν µπρεί να εγγυηθεί την εµπιστευτικότητα και επµένως ένα τέτι password µπρεί να απκαλυφθεί σε µη εξυσιδτηµένα άτµα. Στ LDAPv3 υπάρχει µία λειτυργία σύνδεσης πυ υπστηρίζει τ µηχανισµό Simple Authentication and Security Layer (SASL). Ο µηχανισµός αυτός παρέχει ένα γενικό πλαίσι στ πί είναι διαθέσιµες πλλές µέθδι πιστπίησης της ταυτότητας τυ client στν server. Επιπλέν, µία επέκταση τυ LDAPv3 πυ αφρά την ασφάλεια είναι η επέκταση για Transport Layer Security (TLS), η πία καθρίζει λειτυργίες πυ 33

34 χρησιµπιύν την TLS ως µέσ για την απόκρυψη µίας συνόδυ LDAP και την πρστασία της από µη εξυσιδτηµένη πρόσβαση. Εφόσν, λιπόν, γίνει η πιστπίηση της ταυτότητας ενός client, oι πληρφρίες ελέγχυ πρόσβασης καθρίζυν αν client έχει τα δικαιώµατα πρσπέλασης πυ θα τυ επιτρέψυν να εκτελέσει τη λειτυργία την πία απαίτησε. 3.3 Τ LDAP ως µέρς της λύσης για καθλικές Directory Services To LDAP έχει γίνει εξαιρετικά δηµφιλές στην κινότητα τυ Internet, καθώς ένας µεγάλς αριθµός κατασκευαστών δικτυακών πρϊόντων έχει στηρίξει την ανάπτυξή τυ. Και αυτό γιατί τ LDAP έχει πλλά πλενεκτήµατα πυ δεν µπρύν να αγνηθύν [5]: To LDAP καθρίζει ένα απλό πρότυπ τ πί παρέχει ανιχτή πρόσβαση σε directory services και συµβάλλει στην ενπίηση ετεργενών directories. Eλαχιστπιώντας την πλυπλκότητα τυ λγισµικύ των directory clients, τ LDAP βήθησε στη ραγδαία εξάπλωση των εφαρµγών ι πίες χρησιµπιύν τις directory services µέσω πρσωπικών υπλγιστών και άλλων συστατικών των δικτύων. Με την υπστήριξη των αυτόνµων servers, τ LDAP απλπιεί και ενθαρρύνει την ανάπτυξη ελαφρών directory services σε επιχειρησιακά δίκτυα. Πλλά Application Programming Interfaces (APIs) έχυν καθριστεί για τ LDAP, τα πία διευκλύνυν τυς διαχειριστές συστηµάτων στ να παρέχυν πρόσβαση στν directory στις εφαρµγές τυς. Η µελλντική ανάπτυξη και εξέλιξη τυ LDAP θα παραµείνει υπό την εππτεία της IETF. Παρόλα τα πλενεκτήµατά τυ, τ LDAP δεν είναι δυνατόν να λύσει όλα τα πρβλήµατα στ χώρ των directories, ενώ τα δίκτυα των επιχειρήσεων είναι δύσκλ να συγκλίνυν σε µία απλή directory service. Τ LDAP, απλώς εξασφαλίζει ότι ένας συµβατός µε τ LDAP directory παρέχει ένα κινό interface και συµφωνεί µε τ 34