El árbol, el DN y el esquema del directorio

Un directorio LDAP es un árbol de entradas. Cada entrada tiene un nombre completo, el DN (nombre distinguido), que se escribe de la hoja hacia la raíz y separa sus partes con comas. Por ejemplo, uid=ana,ou=docentes,dc=ejemplo,dc=example es la entrada ana, que cuelga de la unidad docentes, que cuelga de la raíz dc=ejemplo,dc=example. El estándar que describe cómo se escriben los DN es la RFC 4514.

Cada parte del DN es un par atributo=valor. La primera, la de más a la izquierda, se llama RDN (nombre distinguido relativo): es lo que distingue a la entrada de sus hermanas bajo el mismo padre. Dos entradas pueden tener el mismo RDN si cuelgan de padres distintos, pero nunca dos hermanas pueden tenerlo igual.

Abre el árbol exportado de la universidad y recórrelo.

ls directorio
cat directorio/arbol.txt

Las entradas no solo se encuentran por su nombre: también por sus atributos. Las cuentas de aplicaciones de la universidad no cuelgan de las unidades de personas, sino de una unidad propia. Cada una lleva un atributo description que dice para qué sirve.

Abre las entradas exportadas en formato LDIF (el formato de texto estándar para intercambiar entradas) y busca la que corresponde a la biblioteca.

cat directorio/entradas.ldif
grep -B3 -i biblioteca directorio/entradas.ldif

El esquema es el reglamento del directorio: define qué clases de objeto existen, qué atributos puede o debe tener una entrada de cada clase y qué sintaxis admite cada atributo (RFC 4512). Una clase de objeto lista atributos obligatorios (MUST) y opcionales (MAY). Si una entrada declara una clase pero no trae sus atributos obligatorios, el servidor la rechaza.

La universidad definió dos clases propias para distinguir a docentes y estudiantes. El lunes se intentó cargar un lote desde un archivo LDIF y una entrada fue rechazada. Lee el esquema, el informe de la carga y la entrada que se intentó cargar.

cat directorio/esquema-extracto.txt
cat directorio/carga-ldif.log
cat directorio/entrada-rechazada.ldif

Toda búsqueda LDAP indica una base (desde qué entrada se mira) y un alcance (qué tan hondo): base mira solo la entrada de la base, one mira a sus hijos directos y sub mira toda la rama que cuelga de ella. Contar personas «en una unidad» depende de cuál alcance se use: con sub se cuentan también las entradas de las subunidades.

En el árbol, la unidad de docentes tiene una subunidad con visitantes. Cuenta con cuidado.

Cada entrada tiene una sola cadena de clases estructurales, que define de qué tipo es (una persona, una unidad, una cuenta de aplicación). Las clases auxiliares no definen el tipo: se suman a una entrada que ya lo tiene para añadirle atributos. En el esquema que acabas de leer, inetOrgPerson es estructural y las clases propias de la universidad son auxiliares.

Esto importa al revisar un directorio: una persona puede ser docente y estudiante a la vez si lleva las dos clases auxiliares, sin necesidad de duplicar la entrada.