LDAP

目录树结构

LDAP 将信息组织成树状结构（DIT，目录信息树）：根部是组织（dc=example,dc=com），下面是组织单元（ou=employees）、用户（cn=John Doe）等。每个条目由区分名（DN）唯一标识，属性用对象类（objectClass）约束，比如 inetOrgPerson 规定了用户条目必须有哪些属性。

LDAP 的主要操作：Bind（认证）、Search（搜索，最核心的操作）、Add/Modify/Delete（增删改）。企业单点登录（SSO）中，应用收到用户名密码后，向 LDAP 服务器发 Bind 请求验证，成功则允许登录。[1]

Active Directory 与实际部署

微软的 Active Directory（AD）是 LDAP 最广泛的商业实现，几乎所有 Windows 企业环境都依赖它做用户、组策略、设备管理。AD 使用标准 LDAP 协议（389 端口明文，636 端口 LDAPS），但也有很多微软私有扩展。

开源替代有 OpenLDAP（老牌，配置复杂）和 FreeIPA（Red Hat 主导，集成 Kerberos + DNS + LDAP，对标 AD）。云时代很多企业改用 Okta、Azure AD 等 IDaaS，但 LDAP 在传统企业仍然无处不在，大量应用的认证模块都内置 LDAP 支持。