核心概念：什么是 Windows LDAP 服务器？
Windows LDAP 服务器就是运行在 Windows Server 上的、用于存储和管理网络对象（如用户、计算机、打印机等）信息的服务。
（图片来源网络，侵删）
这个服务的正式名称是 Active Directory (活动目录)，Active Directory 是一个完整的目录服务解决方案，而 LDAP (Lightweight Directory Access Protocol, 轻量级目录访问协议) 是客户端与这个目录服务进行通信时所使用的主要“语言”或协议。
您可以这样理解它们的关系：
- Active Directory (AD)：是“数据库”或“信息仓库”，负责存储所有网络对象的信息。
- LDAP：是“查询接口”或“访问方法”，允许客户端程序（如用户登录、脚本、应用程序）去查询、添加、修改或删除 AD 中的信息。
一个形象的比喻：
- Active Directory 就像一本公司内部的全员通讯录，里面记录了每个员工的姓名、部门、电话、工位号等信息。
- LDAP 就是你查询这本通讯录所用的规则和方法，你可以说“帮我找到所有在‘技术部’的员工”，LDAP 就会帮你在这本通讯录里找到结果。
核心组件
要理解 Windows LDAP 服务器，需要了解其几个核心组件：
（图片来源网络，侵删）
-
域控制器
这是运行 Active Directory 域服务的服务器，它负责处理所有的安全认证请求（用户登录、计算机加入域）和目录查询请求，一个域中可以有多台域控制器，它们之间会自动同步数据，提供高可用性。
-
林、域和 OU (组织单位)
- 林：是 AD 的最高层级，代表一个完整的、安全的 Active Directory 环境，一个林可以包含一个或多个域。
- 域：是 AD 的核心管理单元，是一组共享相同 Active Directory 数据库、安全策略和与其他域信任关系的计算机账户。
yourcompany.com就是一个域。 - 组织单位：是域内的容器，用于以逻辑方式组织对象（如用户、组、计算机），OU 是实现委派管理策略（比如让某个部门的经理管理自己部门的用户账户）的最小单元，可以在
yourcompany.com域下创建IT、HR、Sales等 OU。
-
对象
（图片来源网络，侵删）- AD 中存储的任何一项都是一个对象，常见的对象类型包括：
- 用户：网络账户。
- 计算机：加入域的客户端或服务器。
- 组：用户的集合，用于简化权限分配。
- 打印机、共享文件夹等。
- 每个对象都有一系列属性，例如用户对象有
sAMAccountName(登录名)、userPrincipalName(UPN, 如user@yourcompany.com)、displayName(显示名)、mail(邮箱) 等属性。
- AD 中存储的任何一项都是一个对象，常见的对象类型包括：
-
架构
- 定义了 AD 中可以创建哪些类型的对象，以及每种对象类型必须包含哪些属性，架构定义了“用户”对象必须有
sAMAccountName属性，你可以通过扩展架构来添加自定义属性。
- 定义了 AD 中可以创建哪些类型的对象，以及每种对象类型必须包含哪些属性，架构定义了“用户”对象必须有
LDAP 协议在 Windows 中的具体体现
当客户端通过 LDAP 协议与 Windows AD 交互时，它通常使用以下几种连接方式：
-
标准 LDAP 端口
- TCP/UDP 389：这是标准的、非加密的 LDAP 端口。
- TCP/UDP 636：这是 LDAPS (LDAP over SSL/TLS) 的端口，用于加密通信，确保数据传输安全。在生产环境中，强烈建议使用 LDAPS (636端口)。
-
全局唯一标识符
- AD 中的每个对象都有一个唯一的 ID，称为 Distinguished Name (DN)，DN 是对象的完整路径，可以精确定位到任何一个对象。
- 示例 DN：
CN=John Doe,OU=IT,DC=yourcompany,DC=comCN=John Doe：通用名，代表对象本身（这里是用户 John Doe）。OU=IT：组织单位，代表他所在的部门。DC=yourcompany：域组件，代表yourcompany.com域。DC=com：域组件，代表顶级域。
-
AD 提供的特定扩展 (LDAP v3)
Windows AD 遵循 LDAP v3 标准，并在此基础上做了大量扩展，使其功能更强大，这些扩展通常以特定的 OID（对象标识符）来标识，比如用于查询活动目录特定属性的控件。
如何查找和使用 Windows LDAP 服务器的信息？
-
如何找到 LDAP 服务器的地址？
- 自动发现：当一台 Windows 计算机加入域后，它会自动知道域控制器的地址。
- 手动查询：
- 在命令提示符中运行：
nslookup -type=srv _ldap._tcp.yourcompany.com - 这会返回域控制器的 FQDN (Fully Qualified Domain Name)。
- 在命令提示符中运行：
- 查看计算机属性：在域中任何一台计算机的“系统属性” -> “计算机名”选项卡中，可以看到完整的域名称。
-
如何使用 LDAP？
- 图形界面：
- Active Directory 用户和计算机 (dsa.msc)：这是最常用的管理工具，用于管理用户、计算机、OU 等。
- Active Directory 站点和服务 (dsa.msc)：用于管理站点复制和站点链接。
- 命令行：
- dsquery 和 dsget：强大的命令行工具，用于在 AD 中查找和获取对象信息。
dsquery user -name "John Doe"。
- dsquery 和 dsget：强大的命令行工具，用于在 AD 中查找和获取对象信息。
- 脚本和编程：
- 使用 PowerShell：PowerShell 是管理 AD 的现代首选方式。
Get-ADUser,New-ADUser,Set-ADUser等 cmdlet 底层就是通过 LDAP 与 AD 通信。 - 使用其他编程语言（如 Python, Java, C#）：它们通常都提供 LDAP 客户端库，可以连接到 Windows AD 进行自动化操作。
- 使用 PowerShell：PowerShell 是管理 AD 的现代首选方式。
- 图形界面：
一个简单的实践示例：使用 PowerShell 查询用户
假设你的域名是 corp.local，你想查找所有姓 "Smith" 的用户。
- 打开 PowerShell (最好是 AD 模块已导入的 PowerShell)。
- 执行查询命令：
# 查找所有姓 "Smith" 的用户，并显示他们的姓名、登录名和邮箱 Get-ADUser -Filter "Surname -eq 'Smith'" -Properties Name, SamAccountName, Mail | Format-Table Name, SamAccountName, Mail
命令解析：
Get-ADUser：这是 PowerShell 中用于获取 AD 用户信息的 cmdlet。-Filter "Surname -eq 'Smith'"：这是 LDAP 查询的核心部分，它告诉 AD 服务器查找Surname(姓) 属性等于Smith的所有用户，这个 Filter 字符串会被转换成底层的 LDAP 查询语句。-Properties Name, SamAccountName, Mail：指定要返回哪些用户属性。Format-Table：将结果格式化成表格输出。
| 特性 | 描述 |
|---|---|
| 本质 | Windows LDAP 服务器就是 Active Directory (AD)。 |
| 角色 | 作为网络中的中央身份验证和信息存储中心。 |
| 协议 | 客户端通过 LDAP 协议与 AD 交互，查询和修改目录信息。 |
| 核心功能 | 统一管理用户、计算机、打印机等对象；实现单点登录；基于组策略进行集中配置管理。 |
| 关键端口 | 389 (LDAP), 636 (LDAPS, 加密，推荐使用)。 |
| 管理工具 | dsa.msc (图形界面), PowerShell (脚本和自动化), dsquery (命令行)。 |
对于任何需要管理多台计算机、多个用户的企业环境，Windows LDAP 服务器都是不可或缺的基石，它构建了一个安全、可扩展、易于管理的网络基础设施。
