Tape les DN et les commandes sans regarder, puis Entrée. Pour les autres questions, réponds avant d’ouvrir : c’est l’effort de rappel qui fait retenir.
Rappel actif
Restitue de mémoire, sans support.
Cite les cinq modèles qui définissent le fonctionnement de LDAP, avec ce que chacun décrit.
- Information : la structure des données (objets, attributs, arbre).
- Nommage : comment identifier un objet (DN, RDN).
- Fonctionnel : les opérations (recherche, ajout, modification, suppression).
- Sécurité : authentification, ACL, confidentialité (LDAPS).
- Duplication : répartition des branches et réplication entre serveurs.
Donne le sens des attributs
dc,cn,gn,sn,o,ou, avec un exemple pour ESPRIT.Attribut Sens Exemple dccomposant de nom DNS dc=Esprit,dc=tncnnom commun cn=Wael Cherifgnprénom gn=Waelsnnom de famille sn=Cherifoorganisation o=ESPRITouunité d’organisation ou=Etudiants
Tape la commande
Écris la commande exacte, puis Entrée pour vérifier.
Au-delà du cours (options OpenLDAP) : en authentification simple, cherche sous
dc=Esprit,dc=tnl’entrée dont lecnvautEtudiant1.ldapsearch -x -b "dc=Esprit,dc=tn" "(cn=Etudiant1)"-x: authentification simple.-b: base de recherche. Le filtre se met entre parenthèses.Au-delà du cours : ajoute les entrées du fichier
etudiant.ldifen te connectant commecn=admin,dc=Esprit,dc=tn, avec demande du mot de passe.ldapadd -x -D "cn=admin,dc=Esprit,dc=tn" -W -f etudiant.ldif-D: DN avec lequel on s’authentifie (bind),-W: demander le mot de passe,-f: fichier LDIF.
Écris-le
Rédige la requête, la configuration ou le code, puis compare avec la réponse.
Écris l’entrée LDIF de l’étudiant Wael Cherif (
cn=Etudiant1) dansou=Etudiants,ou=Personnes,dc=Esprit,dc=tn, avec prénom, nom, téléphone0123456789et mailwael.cherif@esprit.tn.dn: cn=Etudiant1,ou=Etudiants,ou=Personnes,dc=Esprit,dc=tn objectClass: inetOrgPerson cn: Etudiant1 givenName: Wael sn: Cherif telephoneNumber: 0123456789 mail: wael.cherif@esprit.tnLe cours écrit
telephone:etemail:: ce ne sont pas des attributs standards et OpenLDAP les refuserait. Les noms du schéma sonttelephoneNumberetmail.objectClassest obligatoire : c’est lui qui dit quels attributs l’entrée peut avoir.
Calcule
Pose le calcul et donne le résultat, puis Entrée pour vérifier.
Dans l’arbre du cours, quel est le DN de l’enseignant
cn=Prof1, placé dansou=Enseignants?cn=Prof1,ou=Enseignants,ou=Personnes,dc=Esprit,dc=tn. On part de l’objet et on remonte jusqu’à la racine, du plus précis au plus général, comme une adresse postale.Quelle est la racine (le suffixe) du DIT d’une entreprise dont le domaine est
mon-entreprise.com?dc=mon-entreprise,dc=com: undcpar label du nom DNS.Quel est le RDN de l’entrée
cn=Etudiant2,ou=Etudiants,ou=Personnes,dc=Esprit,dc=tn?cn=Etudiant2: la partie la plus à gauche, qui identifie l’entrée dans sa branche. Deux entrées de branches différentes peuvent avoir le même RDN, jamais le même DN.
Distingue
Deux notions proches : dis ce qui les sépare vraiment.
Annuaire LDAP et base de données relationnelle : compare structure, usage dominant et performances. Pour stocker les comptes de 5000 employés lus à chaque connexion, lequel ?
Annuaire Base relationnelle Structure hiérarchique (arbre) tables, lignes, colonnes Usage beaucoup de lectures, peu d’écritures équilibre lecture, écriture, modification Faiblesse écritures massives, requêtes complexes Les comptes : annuaire. Ils sont lus à chaque authentification et modifiés rarement, et toutes les applications peuvent s’y authentifier de façon centralisée.
DN et RDN : définition et exemple.
- DN : chemin complet et unique dans l’arbre :
cn=Etudiant1,ou=Etudiants,ou=Personnes,dc=Esprit,dc=tn. - RDN : le nom relatif à la branche parente :
cn=Etudiant1.
Comme un chemin absolu de fichier et le nom du fichier seul.
- DN : chemin complet et unique dans l’arbre :
Répartition et réplication dans le modèle de duplication : quelle différence ?
- Répartition : des branches différentes de l’arbre sont sur des serveurs différents (chaque serveur a une partie).
- Réplication : la même donnée est copiée sur plusieurs serveurs (maître/esclave ou maître/maître) pour la disponibilité.
Réplication maître/esclave et maître/maître : où peut-on écrire dans chaque cas ?
- Maître/esclave : les écritures uniquement sur le maître, les esclaves servent les lectures.
- Maître/maître : on peut écrire sur chaque maître, ils se synchronisent entre eux. Plus disponible, mais il faut gérer les conflits d’écritures simultanées.
Explique pourquoi
Le mécanisme derrière la règle.
Pourquoi le port 389 est-il un problème si LDAP sert à l’authentification ?
Sur 389, LDAP circule en clair : une authentification simple (
bind) envoie le DN et le mot de passe lisibles sur le réseau. Il faut LDAPS (LDAP sur TLS, port 636) ou StartTLS, ce que le modèle de sécurité appelle la confidentialité.Pourquoi un annuaire centralisé simplifie-t-il la vie d’un administrateur qui gère la messagerie, le FTP et le Wi-Fi ?
Un seul compte par personne, dans un seul annuaire, utilisé par tous les services pour l’authentification. Un employé qui part : une désactivation, et il perd l’accès partout. Sans annuaire, il faudrait le supprimer dans chaque service, et un oubli laisse un accès ouvert.
Cas pratique
Choisis et justifie avec les critères du cours.
Concevoir le DIT d’une entreprise
societe.tnavec deux filiales (Tunis, Sfax), chacune avec les départements Commercial et Technique, et un groupe de machines. Dessine l’arbre.dc=societe,dc=tn ├── o=Tunis │ ├── ou=Commercial │ └── ou=Technique ├── o=Sfax │ ├── ou=Commercial │ └── ou=Technique └── ou=MachinesLes deux
ou=Commercialne se confondent pas : leurs DN diffèrent (ou=Commercial,o=Tunis,...etou=Commercial,o=Sfax,...).Les étudiants doivent pouvoir lire leur fiche, mais seul le service de scolarité peut modifier les attributs
snetgn. Quel modèle LDAP est concerné, et avec quel mécanisme ?Le modèle de sécurité, avec des ACL (contrôle d’accès) : lecture pour l’étudiant sur sa propre entrée, écriture sur
snetgnréservée au groupe de la scolarité.
Trouve l'erreur
Chaque affirmation contient au moins une faute.
« Le DN d’Etudiant1 est
dc=tn,dc=Esprit,ou=Personnes,ou=Etudiants,cn=Etudiant1. »L’ordre est inversé. Un DN se lit du plus précis au plus général :
cn=Etudiant1,ou=Etudiants,ou=Personnes,dc=Esprit,dc=tn.« LDAP est une base de données : on l’utilise pour enregistrer les commandes d’une boutique en ligne. »
Un annuaire est optimisé pour la lecture et peu performant en écritures massives. Des commandes créées et modifiées en continu, avec des requêtes complexes, relèvent d’une base relationnelle.
« Pour supprimer une entrée, j’utilise
ldapmodify. »Il existe une commande dédiée :
ldapdelete. (ldapmodifypeut techniquement supprimer avec un LDIFchangetype: delete, mais l’opération du modèle fonctionnel estldapdelete.)
Et si...
Prévois la conséquence.
Et si on supprime l’entrée
ou=Etudiantsalors qu’elle contient encorecn=Etudiant1etcn=Etudiant2?Le serveur refuse : on ne supprime pas une entrée qui a des enfants (
Operation not allowed on non-leaf). Il faut supprimer les entrées filles d’abord, ou utiliser une suppression récursive (ldapdelete -r).