Otwarty katalog Apple
Apple Open Directory to implementacja modelu usługi katalogowej LDAP firmy Apple Inc. Usługa katalogowa to oprogramowanie , które przechowuje i porządkuje informacje o użytkownikach sieci komputerowej i zasobach sieciowych oraz umożliwia administratorom sieci zarządzanie dostępem użytkowników do zasobów.
W kontekście systemu macOS Server , Open Directory opisuje współdzieloną domenę katalogową LDAPv3 i odpowiadający jej model uwierzytelniania składający się z Apple Password Server i Kerberos 5 połączonych ze sobą za pomocą modułowego systemu usług katalogowych. Apple Open Directory to rozwidlenie OpenLDAP .
Termin Open Directory może być również używany do opisania całej struktury usług katalogowych używanych przez macOS i macOS Server. W tym kontekście opisuje rolę systemu macOS lub systemu macOS Server, gdy jest on podłączony do istniejącej domeny katalogowej, w którym to kontekście jest czasami określany jako Usługi katalogowe .
Firma Apple, Inc. publikuje również interfejs API o nazwie struktura OpenDirectory , umożliwiający aplikacjom macOS przesłuchiwanie i edytowanie danych Open Directory.
Wraz z wydaniem systemu Mac OS X Leopard (10.5) firma Apple zdecydowała się odejść od korzystania z usługi katalogowej NetInfo (pierwotnie dostępnej w NeXTSTEP i OPENSTEP ), która była domyślnie używana dla wszystkich lokalnych kont i grup w każdej wersji systemu Mac OS X od 10,0 do 10,4. Mac OS X 10.5 używa teraz usług katalogowych i ich wtyczek do wszystkich informacji o katalogach. Konta lokalne są teraz zarejestrowane w wtyczce lokalnej, która używa plików listy właściwości XML (plist) przechowywanych w /var/db/dslocal/nodes/Default/ jako magazynu zapasowego.
Implementacja w systemie macOS Server
macOS Server może hostować domenę Open Directory , jeśli jest skonfigurowany jako Open Directory Master . Oprócz katalogu lokalnego ta domena LDAPv3 oparta na OpenLDAP jest przeznaczona do przechowywania scentralizowanych danych zarządzania, kont użytkowników, grup i komputerów, do których inne systemy mają dostęp. Domena katalogowa jest sparowana z serwerem haseł Open Directory i opcjonalnie z dziedziną Kerberos. Albo zapewnia model uwierzytelniania i przechowuje informacje o haśle poza samą domeną katalogu.
W przypadku uwierzytelniania Kerberos dziedzina Kerberos może być obsługiwana przez centrum dystrybucji kluczy Kerberos (KDC) działające w systemie serwera lub serwer może uczestniczyć w istniejącej dziedzinie Kerberos.
W przypadku usług, które nie są kerberyzowane, serwer haseł udostępnia następujące metody uwierzytelniania oparte na prostym uwierzytelnianiu i warstwie zabezpieczeń :
- APOP
- CRAM-MD5
- Wymiana kluczy Diffiego-Hellmana
- Podsumowanie-MD5
- MS-CHAPv2
- NTLM v1 i v2
- Menedżer sieci LAN
- Podsumowanie WebDAV
Każdy system Mac OS X Server przed wersją 10.7 (Lion) skonfigurowany jako Active Directory Master może działać jako podstawowy kontroler domeny (PDC) systemu Windows, zapewniając usługi uwierzytelniania domeny klientom Microsoft Windows .
Struktura usług katalogowych
W bardziej ogólnym sensie Open Directory może opisywać model wtyczek używany przez Narzędzie katalogowe i strukturę usług katalogowych w systemach macOS i macOS Server. Można to traktować jako analogiczne do Name Service Switch niektórych innych systemów operacyjnych typu Unix . Po podłączeniu do systemu katalogowego klient lub serwer macOS może uwierzytelniać użytkowników, wyszukiwać kontakty, wykrywać usługi i rozpoznawać nazwy za pomocą następujących typów katalogów:
- Uwierzytelnianie i kontakty
- Microsoft Active Directory
- LDAPv3 , w tym domena Open Directory lub system zgodny z RFC 2307
- Domeny Apple/NeXT NetInfo
- Płaskie pliki BSD i NIS
- Wykrywanie usług i rozpoznawanie nazw
- AppleTalk
- Windows (NetBIOS i WINS )
- Protokół lokalizacji usługi (SLP)
- Multicast DNS (Bonjour/Zeroconf)
Historia
Open Directory rozpoczął się wraz z systemem Mac OS X Server 10.2. W tej początkowej formie Open Directory składał się z widocznej w sieci domeny katalogowej NetInfo i odpowiedniej usługi Authentication Manager do przechowywania haseł poza katalogiem. Wersja 10.2 zawierała również obsługę protokołu Kerberos. Wersje Mac OS X 10.1 i 10.0 przechowywały informacje o hasłach użytkowników w domenie katalogowej przy użyciu urzędów uwierzytelniania haseł kryptograficznych, ale wersja 10.2 utorowała drogę obecnym mechanizmom Shadow Hash i Password Server.
Password Server jest następcą programu Authentication Manager i został wprowadzony w Open Directory 2 w systemie Mac OS X Server 10.3. Open Directory 2 był również pierwszą wersją wykorzystującą LDAPv3 jako domenę katalogową.
Mac OS X Server 10.4 zawiera Open Directory 3, który wprowadził obsługę członków domeny Active Directory, powiązanie zaufanych katalogów i zwiększoną niezawodność.
Mac OS X Server 10.5 zawiera Open Directory 4 z obsługą autoryzacji międzydomenowej oraz wbudowany serwer RADIUS do zarządzania stacjami bazowymi AirPort . Open Directory 4 nie zawiera już elementów NetInfo.