CN102843256A - 一种基于轻型目录访问协议(ldap)的it***管理方法 - Google Patents

Abstract

一种基于轻型目录访问协议(LDAP)的IT***管理方法，其首先配置LDAP服务器基本信息、基准节点和自助服务台***中的用户信息与LDAP中用户属性的映射关系；然后，创建查询控制器，将已配置的映射关系和用户登录名传入LDAP查询控制器，通过设置的LDAP基准节点及封装后的查询控制器访问LDAP，获得用户完整的可区分名称(DN)，然后查询LDAP中的该用户信息；使用***预置的隐藏账户登录***，将LDAP信息作为用户属性置入隐藏用户，进而通过自动服务台处理请求。本发明使用内置账户登录，大大降低了数据库的大数据量操作，从而使得自助服务台***的负载大幅降低。

Description

一种基于轻型目录访问协议(LDAP)的IT***管理方法

技术领域

本发明IT***运维管理技术领域，尤其涉及一种基于轻型目录访问协议(以下简称LDAP)的IT***管理方法。

背景技术

当今企业的多数业务都已基于IT***运转，保证运维管理***的良好运作是企业稳定运营的基础之一。但由于大中型企业和机构的组织庞杂、人员众多且对IT***依赖性越来越强，导致运维***的压力与日俱增。

自助服务台能更好地促进业务部门和IT部门的沟通，提供除传统的电话、邮件沟通方式之外的另一种提交方式。业务部门用户可在自助服务台亲自录入请求，避免因电话中描述不清而造成的描述偏差，提高了工作效率。也可跟踪自己所报事故的处理情况，在请求处理完毕后，对处理结果做出满意度反馈，督促运维人员不断提高服务质量。

虽然IT部门人数有限，但自助服务台却承载着大量的业务***用户。通常的做法是在运维***中维护业务***用户信息，登录自助服务台时，使用运维***中的权限进行验证，验证通过即可登录***、提交请求。

这种传统方式存在着若干弊端：

1)添加人员信息到运维***中，耗费了许多数据采集及录入时间。并且随着人员数量的增长，出错的几率也在增加。

2)组织机构及人员的变动随时可能发生，这就使得大量人员信息的同步工作变得十分困难，无形中增加了后期的维护成本。

3)遇到并发用户访问量较大的情况，大量的用户会对整个运维***造成较大负荷。这时企业只有两个选择，错峰访问或对***软硬件进行升级。前者会造成使用上的不便，后者大幅提高了***维护的成本。

发明内容

鉴于现有技术的缺陷，本发明提供一种基于轻型目录访问协议(LDAP)的IT***管理方法，其特征在于包括如下步骤：

步骤一、配置用于获取LDAP用户信息所需访问的LDAP服务器主机、端口、验证方式；

步骤二、设置连接LDAP服务器所需的用户信息的基准节点、以及连接LDAP服务器所需的用户名、密码；

步骤三、配置自助服务台***中的用户信息与LDAP中用户属性的映射关系；

步骤四、用户在自助服务台输入用户登录名及密码后，通过LDAP***校验用户是否具有登录权限；

步骤五、若LDAP校验通过，则创建查询控制器，将已配置的映射关系传入LDAP查询控制器，并将用户登录名作为相对唯一可区分名称置入查询控制器；

步骤六、通过设置的LDAP基准节点及封装后的查询控制器访问LDAP，获得用户完整的可区分名称(DN)；

步骤七、通过获取到的DN进一步查询LDAP中的该用户信息；

步骤八、使用***预置的隐藏账户登录***，将LDAP信息作为用户属性置入隐藏用户，进而通过自动服务台处理请求。

进一步，所述的基于轻型目录访问协议(LDAP)的IT***管理方法，其特征在于在自助服务台***中预先初始化一个内置用户，将所述LDAP用户信息作为属性封装入内置用户实体，并使用该内置用户登录自助服务台。

进一步，所述的基于轻型目录访问协议(LDAP)的IT***管理方法，其特征在于登录自助服务台***后，通过程序判断用户实体是否包含LDAP用户属性，若包含则证明当前用户是基于LDAP进行的登录。

进一步，所述的基于轻型目录访问协议(LDAP)的IT***管理方法，其特征在于所述用户信息是实时从LDAP服务器获取的。

进一步，所述的基于轻型目录访问协议(LDAP)的IT***管理方法，其特征将LDAP用户属性中的唯一标识(通常为CN)作为提出人用户ID保存至工单的隐藏域。

本发明减少维护大批量人员信息至自助服务台***的工作量，在人员变更时能够做到数据的实时同步。与传统处理方式相比，本发明的不同之处在于：不在自助服务台***中维护用户信息，同导入用户数据相比，减少了后期维护的成本。用户信息实时从LDAP获取，保证了数据同步的实时性。使用内置账户登录，遇到大用户并发量的情况，由于所有用户均使用内置用户一人登录，直接查询该用户信息获取相关权限，大大降低了数据库的大数据量操作，从而使得自助服务台***的负载大幅降低，从而提高运维***的稳定性。

附图说明

图1是本发明基于轻型目录访问协议(LDAP)的IT***管理方法中设置LDAP服务器的流程图；

图2是本发明基于轻型目录访问协议(LDAP)的IT***管理方法中LDAP用户登录自助服务台***的流程图。

具体实施方式

为使本发明的上述目的、特征和优点更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。

由于本发明的实现方式基于与LDAP***的集成，登录验证及用户信息的获取均需访问轻型目录访问协议LDAP(Lightweight Directory Access Protocol)服务器。故应先对LDAP服务器信息进行设置。图1是本发明基于轻型目录访问协议(LDAP)的IT***管理方法中设置LDAP服务器的流程图；如图1所示，具体包括如下步骤：

a)设置LDAP服务器的主机名及端口

b)根据实际情况选择LDAP的验证方式：

none：在自助服务台登录时，如果用户在LDAP中存在，不进行密码校验直接登录；

simple：若企业LDAP服务设置为支持简单身份认证，应选择simple的验证方式；

strong：若企业LDAP服务设置为支持强身份认证，应选择strong的验证方式；

c)设置连接LDAP服务器所需的Base DN(基准DN，用户信息的基准节点，所有信息均作为该节点的子节点)、连接LDAP服务器所需的用户名、密码。设置完毕后可通过测试连接验证配置信息是否正确。

d)配置自助服务台***中的用户信息与LDAP中属性的映射关系

提出人信息包含唯一标识、姓名、邮箱、办公地址、手机号码、固定电话、员工编号、所属部门。配置提出人信息与LDAP用户信息映射关系时，应以LDAP中实际存在的属性为准，即存在哪些属性配置哪些，不存在的无需配置。例如提出人唯一标识对应LDAP中的通用名CN(Common Name)，通常用作识别登录名)，提出人姓名对应LDAP中用户姓名属性等。

图2是本发明基于轻型目录访问协议(LDAP)的IT***管理方法中LDAP用户登录自助服务台***的流程图。如图所示，通过LDAP验证自助服务台登录权限包括如下步骤：

a)在自助服务台***初始化时预先内置一个用户，该用户具有登录***、处理工单的权限。

b)用户在自助服务台输入用户名及密码后，若未集成LDAP，则仍通过运维***校验是否具有登录权限；若已集成LDAP，则通过LDAP***校验用户是否具有登录权限。

c)若LDAP校验通过，则创建LDAP查询控制器，将已配置的映射属性传入LDAP查询控制器，并将登录名作为RDN(Relative Distinguished Name)(RDN：相对DN，条目在父节点下的唯一可区分名称)置入LDAP查询控制器作为查询条件。

d)通过设置的连接LDAP服务器的基准Ba se DN(基准DN，用户信息的基准节点，所有信息均作为该节点的子节点)及置入的查询控制器中的可区分名称访问LDAP服务器，查询LDAP服务器中的用户信息，获得用户完整的可区分名称(DN)。

e)通过获取到的DN进一步查询LDAP中该用户的详细信息。详细信息为***管理中配置的LDAP用户映射属性的域值，例如映射关系中配置自助服务台用户账号映射LDAP中cn属性、员工编号映射LDAP中uid属性，则通过本步骤可获取到登录名域值为‘zhangsan’、员工编号域值为‘1339’等信息。

f)通过内置用户帐号(已知)登录自助服务台***，由于用户已知且权限固定，避免了对人员信息表、权限信息表大数据量查询的操作，若登录失败则返回登录页面并弹出提示信息。

g)登录成功后首先获取到内置用户的用户对象(包含用户信息、权限信息)并将步骤e)中获取到的LDAP用户信息组装成属性集合，作为自助服务台内置用户对象的属性置入其中。

h)将用户信息放入Session(会话)中，由于Session存储在服务器内存中，不需要每次操作都对数据库进行操作，减少数据库访问开销，提升用户页面操作的速度。当用户退出***时清除Session中的内容。

i)将用户信息通过UTF-8进行转码，并用Base64进行加密，完成后将其放入Cookie中，存储在用户本地客户端。这样在用户浏览器会话结束之前，无需再次进行登录验证，避免重复操作数据库。当用户退出***时清除Cookie中的内容。

j)若***采用Java语言实现，可将用户对象存储于TreadLocal(线程局部变量)中，TreadLocal为每个使用局部变量的线程建立副本，可有效的处理多线程并发的情况，使***具有更高的并发性。

登录自助服务台***后，通过程序判断用户实体是否包含LDAP用户属性。若包含则证明当前用户是基于LDAP进行的登录，这时***中涉及用户信息的显示需从LDAP用户属性中获取，数据也应显示当前LDAP用户有权限看到的数据，具体包括：用户提交请求时，将当前用户实体中的LDAP属性作为提出人信息传递到起草的工单中，并将LDAP用户属性中的唯一标识(通常为CN)作为提出人用户ID保存至工单的隐藏域。

将待办、已办、草稿等列表，按照提出人ID等于当前LDAP用户唯一标识的条件进行过滤，即用户只能针对自己提交的请求进行跟踪查看，对于其他自助服务台用户的工单并无查看权限，实现权限的控制。

传统做法将用户信息(姓名、编号、联系方式、所属部门、地址等)手动添加或导入至***，一旦其中的任何一项信息发生改变，都需要运维人员手工进行同步以保证数据的准确性。登录自助服务台***时，用户的每次登录操作均需通过运维***进行权限验证。

与传统处理方式相比，本发明的不同之处在于：a)不在自助服务台***中维护用户信息，同导入用户数据相比，减少了后期维护的成本。b)用户信息实时从LDAP获取，保证了数据同步的实时性。c)使用内置账户登录，遇到大量用户并发的情况，由于所有用户均使用内置用户一人登录，可直接查询内置用户的用户、权限等信息，大大减少了数据库的大数据量操作，从而使得自助服务台***的负载大幅降低，提高运维***的稳定性。本发明使运维人员在自助服务台用户信息新建与同步方面实现零维护，在大量用户并发的情况下也能保障***的稳定性。

最后应当说明的是：以上实施例仅用以说明本发明的技术方案而非对其限制；尽管参照较佳实施例对本发明进行了详细的说明，所属领域的普通技术人员应当理解：依然可以对本发明的具体实施方式进行修改或者对部分技术特征进行等同替换；而不脱离本发明技术方案的精神，其均应涵盖在本发明请求保护的技术方案范围当中。

Claims (4)

1.一种基于轻型目录访问协议(LDAP)的IT***管理方法，其特征在于包括如下步骤：

步骤一、配置用于获取LDAP用户信息所需访问的LDAP服务器主机、端口、验证方式；

步骤二、设置连接LDAP服务器所需的用户信息的基准节点、以及连接LDAP服务器所需的用户名、密码；

步骤三、配置自助服务台***中的用户信息与LDAP中用户属性的映射关系；

步骤四、用户在自助服务台输入用户登录名及密码后，通过LDAP***校验用户是否具有登录权限；

步骤五、若LDAP校验通过，则创建查询控制器，将已配置的映射关系传入LDAP查询控制器，并将用户登录名作为相对唯一可区分名称置入查询控制器；

步骤六、通过设置的LDAP基准节点及封装后的查询控制器访问LDAP，获得用户完整的可区分名称(DN)；

步骤七、通过获取到的DN进一步查询LDAP中的该用户信息；

步骤八、使用***预置的隐藏账户登录***，将LDAP信息作为用户属性置入隐藏用户，进而通过自助服务台处理请求。

2.根据权利要求1所述的基于轻型目录访问协议(LDAP)的IT***管理方法，其特征在于在自助服务台***中预先初始化一个内置用户，将所述LDAP用户信息作为属性封装入内置用户实体，并使用该内置用户登录自助服务台。

3.根据权利要求1所述的基于轻型目录访问协议(LDAP)的IT***管理方法，其特征在于登录自助服务台***后，通过程序判断用户实体是否包含LDAP用户属性，若包含则证明当前用户是基于LDAP进行的登录。

4.根据权利要求1所述的基于轻型目录访问协议(LDAP)的IT***管理方法，其特征在于所述用户信息是实时从LDAP服务器获取的。

Images