Apple Open Directory
Apple Open Directory är implementeringen av LDAP- katalogtjänstmodellen från Apple Inc. En katalogtjänst är programvara som lagrar och organiserar information om ett datornätverks användare och nätverksresurser och som tillåter nätverksadministratörer att hantera användarnas åtkomst till resurserna.
I sammanhanget av macOS Server beskriver Open Directory en delad LDAPv3- katalogdomän och en motsvarande autentiseringsmodell som består av Apple Password Server och Kerberos 5 kopplade samman med hjälp av ett modulärt Directory Services-system . Apple Open Directory är en gaffel av OpenLDAP .
Termen Open Directory kan också användas för att beskriva hela ramverket för katalogtjänster som används av macOS och macOS Server. I det här sammanhanget beskriver den rollen för ett macOS- eller macOS-serversystem när det är anslutet till en befintlig katalogdomän, i vilket sammanhang det ibland kallas Directory Services .
Apple, Inc. publicerar också ett API som kallas OpenDirectory -ramverket, som tillåter macOS-program att förhöra och redigera Open Directory-data.
I och med lanseringen av Mac OS X Leopard (10.5) valde Apple att gå bort från att använda NetInfo- katalogtjänsten (som ursprungligen fanns i NeXTSTEP och OPENSTEP ), som hade använts som standard för alla lokala konton och grupper i varje version av Mac OS X från 10,0 till 10,4. Mac OS X 10.5 använder nu Directory Services och dess plugins för all kataloginformation. Lokala konton är nu registrerade i det lokala insticksprogrammet, som använder XML-egenskapslistfiler (plist) lagrade i /var/db/dslocal/nodes/Default/ som backuplagring.
Implementering i macOS Server
macOS Server kan vara värd för en Open Directory-domän när den är konfigurerad som en Open Directory Master . Utöver sin lokala katalog är denna OpenLDAP-baserade LDAPv3-domän designad för att lagra centraliserad hanteringsdata, användar-, grupp- och datorkonton som andra system kan komma åt. Katalogdomänen är ihopparad med Open Directory Password Server och, valfritt, en Kerberos-sfär. Antingen tillhandahåller en autentiseringsmodell och lagrar lösenordsinformation utanför själva katalogdomänen.
För Kerberos-autentisering kan Kerberos-området antingen vara värd för ett Kerberos- nyckeldistributionscenter (KDC) som körs på serversystemet, eller så kan servern delta i en befintlig Kerberos-sfär.
För tjänster som inte är kerberiserade tillhandahåller lösenordsservern följande enkel autentisering och säkerhetslager- baserade autentiseringsmetoder:
- EN SMÄLL
- CRAM-MD5
- Diffie–Hellman nyckelbyte
- Digest-MD5
- MS-CHAPv2
- NTLM v1 och v2
- Lan Manager
- WebDAV-Digest
Alla Mac OS X Server- system före 10.7 (Lion) konfigurerade som en Active Directory Master kan fungera som en Windows Primary Domain Controller (PDC), som tillhandahåller domänautentiseringstjänster till Microsoft Windows- klienter.
Katalogtjänster ramverk
I en mer allmän mening kan Open Directory beskriva plugins-modellen som används av Directory Utility och katalogtjänsters ramverk i macOS och macOS Server. Detta kan ses som analogt med Name Service Switch- systemen i vissa andra Unix-liknande operativsystem . När den är ansluten till ett katalogsystem kan en macOS-klient eller -server autentisera användare, söka efter kontakter, utföra serviceupptäckt och namnupplösning med följande typer av kataloger:
- Autentisering och kontakter
- Microsoft Active Directory
- LDAPv3 , inklusive en Open Directory-domän eller RFC 2307-kompatibelt system
- Apple/NeXT NetInfo- domäner
- BSD platta filer och NIS
- Tjänsteupptäckt och namnupplösning
- AppleTalk
- Windows (NetBIOS och WINS )
- Service Location Protocol (SLP)
- Multicast DNS (Bonjour/Zeroconf)
Historia
Open Directory började med Mac OS X Server 10.2. I denna initiala form bestod Open Directory av en nätverkssynlig NetInfo-katalogdomän och en motsvarande Authentication Manager-tjänst för lagring av lösenord utanför katalogen. Version 10.2 inkluderade även stöd för Kerberos. Mac OS X versioner 10.1 och 10.0 lagrade användarlösenordsinformation inom katalogdomänen med hjälp av krypteringslösenordsautentiseringsmyndigheter, men version 10.2 banade väg för de nuvarande Shadow Hash- och Password Server-mekanismerna.
Password Server är efterföljaren till Authentication Manager och introducerades i Open Directory 2 i Mac OS X Server 10.3. Open Directory 2 var också den första versionen som använde LDAPv3 som katalogdomän.
Mac OS X Server 10.4 inkluderar Open Directory 3, som introducerade Active Directory-domänmedlemsstöd, betrodd katalogbindning och ökad robusthet.
Mac OS X Server 10.5 har Open Directory 4 med stöd för auktorisering över flera domäner och en inbyggd RADIUS- server för hantering av AirPort -basstationer. Open Directory 4 innehåller inte längre delar av NetInfo.