Apache 模块 mod_ldap

示例配置

以下是一个示例配置，它使用 mod_ldap 来提高由 mod_authnz_ldap 提供的 HTTP 基本身份验证的性能。

# Enable the LDAP connection pool and shared
# memory cache. Enable the LDAP cache status
# handler. Requires that mod_ldap and mod_authnz_ldap
# be loaded. Change the "yourdomain.example.com" to
# match your domain.

LDAPSharedCacheSize 500000
LDAPCacheEntries 1024
LDAPCacheTTL 600
LDAPOpCacheEntries 1024
LDAPOpCacheTTL 600

<Location "/ldap-status">
    SetHandler ldap-status

    Require host yourdomain.example.com

    Satisfy any
    AuthType Basic
    AuthName "LDAP Protected"
    AuthBasicProvider ldap
    AuthLDAPURL "ldap://127.0.0.1/dc=example,dc=com?uid?one"
    Require valid-user
</Location>

LDAP 连接池

LDAP 连接从请求到请求进行池化。这允许 LDAP 服务器保持连接并绑定，准备处理下一个请求，而无需解绑/连接/重新绑定。性能优势类似于 HTTP 保持连接的效果。

在繁忙的服务器上，许多请求可能会同时尝试访问相同的 LDAP 服务器连接。如果 LDAP 连接正在使用中，Apache 将在原始连接旁边创建一个新连接。这确保连接池不会成为瓶颈。

无需在 Apache 配置中手动启用连接池。任何使用此模块访问 LDAP 服务的模块都将共享连接池。

LDAP 连接可以跟踪绑定到 LDAP 服务器时使用的 ldap 客户端凭据。这些凭据可以提供给在转介跟踪期间不允许匿名绑定的 LDAP 服务器。要控制此功能，请参阅 LDAPReferrals 和 LDAPReferralHopLimit 指令。默认情况下，此功能已启用。

LDAP 缓存

为了提高性能，mod_ldap 使用积极的缓存策略来最大限度地减少必须联系 LDAP 服务器的次数。当 Apache 提供受 mod_authnz_ldap 保护的页面时，缓存可以轻松地将吞吐量提高一倍或三倍。此外，LDAP 服务器上的负载将显着降低。

mod_ldap 在搜索/绑定阶段使用搜索/绑定缓存，在比较阶段使用两个操作缓存，支持两种类型的 LDAP 缓存。服务器使用的每个 LDAP URL 都有自己的一组这三个缓存。

搜索/绑定缓存

执行搜索然后绑定的过程是 LDAP 操作中最耗时的方面，尤其是在目录很大的情况下。搜索/绑定缓存用于缓存所有导致成功绑定的搜索。负面结果（即，不成功的搜索或未导致成功绑定的搜索）不会被缓存。做出此决定的理由是，具有无效凭据的连接只占连接总数的一小部分，因此通过不缓存无效凭据，可以减小缓存的大小。

mod_ldap 在缓存中存储用户名、检索到的 DN、用于绑定的密码和绑定的时间。每当使用相同的用户名启动新连接时，mod_ldap 都会将新连接的密码与缓存中的密码进行比较。如果密码匹配，并且缓存的条目不太旧，mod_ldap 将绕过搜索/绑定阶段。

搜索和绑定缓存由 LDAPCacheEntries 和 LDAPCacheTTL 指令控制。

操作缓存

在属性和可分辨名称比较函数期间，mod_ldap 使用两个操作缓存来缓存比较操作。第一个比较缓存用于缓存为测试 LDAP 组成员资格而进行的比较的结果。第二个比较缓存用于缓存对可分辨名称之间进行的比较的结果。

请注意，在检查组成员资格时，任何子组比较结果都会被缓存以加快将来的子组比较。

这两个缓存的行为由 LDAPOpCacheEntries 和 LDAPOpCacheTTL 指令控制。

监控缓存

mod_ldap 具有一个内容处理程序，允许管理员监控缓存性能。内容处理程序的名称为 ldap-status，因此可以使用以下指令访问 mod_ldap 缓存信息

<Location "/server/cache-info">
    SetHandler ldap-status
</Location>

通过获取 URL http://servername/cache-info，管理员可以获取 mod_ldap 缓存使用的每个缓存的状态报告。请注意，如果 Apache 不支持共享内存，则每个 httpd 实例都有自己的缓存，因此重新加载 URL 每次都会导致不同的信息，具体取决于哪个 httpd 实例处理请求。

使用 SSL/TLS

创建到 LDAP 服务器的 SSL 和 TLS 连接的能力由指令 LDAPTrustedGlobalCert、LDAPTrustedClientCert 和 LDAPTrustedMode 定义。这些指令指定要使用的 CA 和可选的客户端证书，以及连接上要使用的加密类型（无、SSL 或 TLS/STARTTLS）。

# Establish an SSL LDAP connection on port 636. Requires that
# mod_ldap and mod_authnz_ldap be loaded. Change the
# "yourdomain.example.com" to match your domain.

LDAPTrustedGlobalCert CA_DER "/certs/certfile.der"

<Location "/ldap-status">
    SetHandler ldap-status

    Require host yourdomain.example.com

    Satisfy any
    AuthType Basic
    AuthName "LDAP Protected"
    AuthBasicProvider ldap
    AuthLDAPURL "ldaps://127.0.0.1/dc=example,dc=com?uid?one"
    Require valid-user
</Location>

# Establish a TLS LDAP connection on port 389. Requires that
# mod_ldap and mod_authnz_ldap be loaded. Change the
# "yourdomain.example.com" to match your domain.

LDAPTrustedGlobalCert CA_DER "/certs/certfile.der"

<Location "/ldap-status">
    SetHandler ldap-status

    Require host yourdomain.example.com

    Satisfy any
    AuthType Basic
    AuthName "LDAP Protected"
    AuthBasicProvider ldap
    AuthLDAPURL "ldap://127.0.0.1/dc=example,dc=com?uid?one" TLS
    Require valid-user
</Location>

SSL/TLS 证书

不同的 LDAP SDK 在设置和处理 CA 和客户端证书方面有很大的不同。

如果您打算使用 SSL 或 TLS，请仔细阅读本节，以了解不同 LDAP 工具包上配置之间的差异。

Netscape/Mozilla/iPlanet SDK

CA 证书在名为 cert7.db 的文件中指定。SDK 不会与任何证书未由此文件中指定的 CA 签名的 LDAP 服务器通信。如果需要客户端证书，则可以指定一个可选的 key3.db 文件，并指定一个可选的密码。如果需要，可以指定 secmod 文件。这些文件采用与 Netscape Communicator 或 Mozilla Web 浏览器使用的格式相同。获取这些文件的最简单方法是从您的浏览器安装中获取它们。

客户端证书通过引用证书“昵称”使用 LDAPTrustedClientCert 指令在每个连接中指定。可以指定一个可选的密码来解锁证书的私钥。

SDK 仅支持 SSL。尝试使用 STARTTLS 会在运行时尝试联系 LDAP 服务器时导致错误。

# Specify a Netscape CA certificate file
LDAPTrustedGlobalCert CA_CERT7_DB "/certs/cert7.db"
# Specify an optional key3.db file for client certificate support
LDAPTrustedGlobalCert CERT_KEY3_DB "/certs/key3.db"
# Specify the secmod file if required
LDAPTrustedGlobalCert CA_SECMOD "/certs/secmod"
<Location "/ldap-status">
    SetHandler ldap-status

    Require host yourdomain.example.com

    Satisfy any
    AuthType Basic
    AuthName "LDAP Protected"
    AuthBasicProvider ldap
    LDAPTrustedClientCert CERT_NICKNAME <nickname> [password]
    AuthLDAPURL "ldaps://127.0.0.1/dc=example,dc=com?uid?one"
    Require valid-user
</Location>

Novell SDK

Novell SDK 要正常工作，必须指定一个或多个 CA 证书。这些证书可以指定为二进制 DER 或 Base64（PEM）编码文件。

注意：客户端证书是全局指定的，而不是每个连接指定的，因此必须使用以下 LDAPTrustedGlobalCert 指令指定。尝试通过 LDAPTrustedClientCert 指令设置客户端证书会导致在尝试连接到 LDAP 服务器时记录错误。

SDK 支持 SSL 和 STARTTLS，使用 LDAPTrustedMode 参数设置。如果指定了 ldaps:// URL，则强制使用 SSL 模式，覆盖此指令。

# Specify two CA certificate files
LDAPTrustedGlobalCert CA_DER "/certs/cacert1.der"
LDAPTrustedGlobalCert CA_BASE64 "/certs/cacert2.pem"
# Specify a client certificate file and key
LDAPTrustedGlobalCert CERT_BASE64 "/certs/cert1.pem"
LDAPTrustedGlobalCert KEY_BASE64 "/certs/key1.pem" [password]
# Do not use this directive, as it will throw an error
#LDAPTrustedClientCert CERT_BASE64 "/certs/cert1.pem"

OpenLDAP SDK

OpenLDAP SDK 要正常工作，必须指定一个或多个 CA 证书。这些证书可以指定为二进制 DER 或 Base64（PEM）编码文件。

CA 和客户端证书都可以全局指定 (LDAPTrustedGlobalCert) 或每个连接指定 (LDAPTrustedClientCert)。当任何设置在每个连接中指定时，全局设置将被取代。

SDK 的文档声称支持 SSL 和 STARTTLS，但 STARTTLS 似乎并非在所有版本的 SDK 上都能正常工作。可以使用 LDAPTrustedMode 参数设置 SSL/TLS 模式。如果指定了 ldaps:// URL，则强制使用 SSL 模式。OpenLDAP 文档指出，SSL (ldaps://) 支持已被弃用，将被 TLS 取代，尽管 SSL 功能仍然有效。

# Specify two CA certificate files
LDAPTrustedGlobalCert CA_DER "/certs/cacert1.der"
LDAPTrustedGlobalCert CA_BASE64 "/certs/cacert2.pem"
<Location "/ldap-status">
    SetHandler ldap-status

    Require host yourdomain.example.com

    LDAPTrustedClientCert CERT_BASE64 "/certs/cert1.pem"
    LDAPTrustedClientCert KEY_BASE64 "/certs/key1.pem"
    # CA certs respecified due to per-directory client certs
    LDAPTrustedClientCert CA_DER "/certs/cacert1.der"
    LDAPTrustedClientCert CA_BASE64 "/certs/cacert2.pem"
    Satisfy any
    AuthType Basic
    AuthName "LDAP Protected"
    AuthBasicProvider ldap
    AuthLDAPURL "ldaps://127.0.0.1/dc=example,dc=com?uid?one"
    Require valid-user
</Location>

Solaris SDK

尚不支持本机 Solaris LDAP 库的 SSL/TLS。如果需要，请改为安装和使用 OpenLDAP 库。

Microsoft SDK

本机 Microsoft LDAP 库的 SSL/TLS 证书配置是在系统注册表中完成的，不需要任何配置指令。

通过使用 ldaps:// URL 格式或相应地使用 LDAPTrustedMode 指令，支持 SSL 和 TLS。

注意：此工具包对客户端证书支持的状态尚不清楚。