Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
ISO 29845 目录服务标准：架构、模式设计与安全管理
ISO 29845 目录服务设计、LDAP 模式管理、认证与高可用复制技术指南
ISO 29845 目录服务体系架构概述
ISO 29845 为分布式信息技术环境中的目录服务定义了全面的框架。目录服务构成了现代网络身份管理的基础，提供关于用户、设备、应用程序和网络资源的集中存储和检索功能。该标准建立在 X.500 系列建议和轻量级目录访问协议规范的基础之上，并扩展了云集成、联合身份管理和自动化 provisioning 等现代需求。
该标准规定了目录条目必须遵循的信息模型，包括对象类层次结构、属性类型定义和命名约定。它还定义了功能模型，规定了目录客户端如何通过搜索、添加、删除、修改和修改 DN 等操作与目录服务器交互。对于设计身份和访问管理基础设施的企业架构师而言，符合 ISO 29845 标准可确保目录服务能够扩展以支持数百万条目，同时保持亚秒级查询响应时间和强数据一致性保证。
在设计目录信息树时，遵循最小化深度的原则：具有良好索引属性的扁平目录信息树结构通常比深度嵌套的分层设计性能更好。为了获得最佳查询性能，建议最大深度为 5 到 7 层。
模式设计与命名空间管理
ISO 29845 非常重视模式设计和命名空间管理。目录模式定义了可以存储哪些类型的条目以及它们可以拥有哪些属性的规则。该标准指定了一组核心对象类，包括 person、organizationalPerson、organizationalUnit、groupOfNames 和 device，以及它们的必选和可选属性。组织可以使用自定义对象类和属性扩展模式，前提是遵循标准建立的命名规则以避免冲突。
命名空间管理处理目录条目在目录信息树中的命名和组织方式。该标准引入了命名上下文的概念，它将目录信息树划分为可以独立管理、复制和委派的管理边界。每个命名上下文都有一个唯一的专有名称作为其根，上下文内的条目由其相对专有名称唯一标识。正确的命名空间设计对于实现委派管理至关重要，使不同的组织单元能够管理各自在目录中的部分。
| 对象类 | 描述 | 必选属性 | 可选属性 |
|---|---|---|---|
| person | 组织中的个人 | cn, sn | telephoneNumber, mail, title |
| organizationalPerson | 员工或承包商 | cn, sn（继承） | department, manager, employeeID |
| organizationalUnit | 部门或团队 | ou | description, l, postalAddress |
| groupOfNames | 条目集合 | cn, member | description, businessCategory |
| device | 网络设备或服务器 | cn | serialNumber, location, operatingSystem |
扩展目录模式时要谨慎。每个自定义属性都会增加索引大小并可能影响写入性能。标准建议将自定义模式扩展限制在总属性数量的 20% 以内，以获得最佳运行效率。
安全、认证与访问控制
ISO 29845 规定了目录服务的全面安全机制，包括认证方法、访问控制策略和数据机密性保护。该标准强制支持简单认证和强认证机制，包括 DIGEST-MD5、Kerberos 和基于证书的 TLS 认证。访问控制通过附加到目录条目或子树的访问控制列表实现，指定哪些用户或组对特定属性具有读取、写入、搜索或比较权限。
该标准还涉及目录服务中密码策略管理的关键主题。它定义了密码质量要求、有效期策略、锁定机制和历史记录跟踪以防止密码重用。符合 ISO 29845 的目录必须使用强密码学算法进行密码哈希，绝不能以明文或可逆加密形式存储密码。对于需要多因素认证的组织，标准提供了将目录服务与认证代理和身份提供商集成的指导。
在生产环境中实施 LDAP over TLS 是最基本的安全要求。对于高安全性的部署，建议添加 SASL/GSSAPI 认证以实现双向认证和企业级单点登录能力。
复制与高可用性
ISO 29845 定义了确保分布式部署中目录数据可用性和一致性的复制模型。该标准支持单主和多主复制拓扑，选择取决于一致性要求和网络特性。在单主复制中，一个目录服务器持有可写副本，而副本服务器维护只读副本。多主复制允许多个位置进行写入，并基于时间戳或向量时钟提供冲突解决机制来处理并发更新。
高可用性要求包括自动故障转移检测、客户端连接重定向和数据同步延迟界限。标准规定在正常网络条件下复制延迟不应超过 5 秒，故障转移应在 30 秒内完成且无需人工干预。对于灾难恢复场景，ISO 29845 建议在地理上分离的数据中心至少维护一个副本，使用异步复制以避免影响正常运行的性能。
多主复制存在更新冲突的风险，可能导致数据不一致。请务必部署冲突解决策略并定期审核复制状态。该标准不保证在所有冲突场景中自动收敛，可能需要人工协调。
常见问题解答
问：ISO 29845 与 LDAP 和 X.500 标准有何关系？
答：ISO 29845 建立在 X.500 系列和 LDAP 规范的基础之上，融合了它们的核心模型，同时增加了云集成、联合、自动化 provisioning 和增强安全性等现代需求。它旨在与 LDAPv3 向后兼容，同时为当代部署场景扩展了框架。
问：哪些目录服务器软件推荐用于 ISO 29845 合规？
答：多种目录服务器实现支持 ISO 29845 合规，包括 OpenLDAP、389 Directory Server、Microsoft Active Directory（带模式扩展）和 Red Hat Directory Server。选择取决于现有基础设施、可扩展性要求和组织专业知识。
问：基于云的目录服务能否实现 ISO 29845 合规？
答：可以，AWS Directory Service、Azure Active Directory Domain Services 和 Google Cloud Directory Sync 等托管目录服务可以配置为满足 ISO 29845 合规要求。但是，组织必须验证具体的服务实现是否支持标准定义的所有强制功能。
