DE69916928T2

DE69916928T2 - Zugriffsverfahren und Server für Netzwerkverzeichnis

Info

Publication number: DE69916928T2
Application number: DE69916928T
Authority: DE
Inventors: Jean-Christophe Route de Beauregard Martin; Sylvain Duloutre
Original assignee: Sun Microsystems Inc
Current assignee: Sun Microsystems Inc
Priority date: 1998-03-03
Filing date: 1999-02-17
Publication date: 2005-04-14
Anticipated expiration: 2019-02-18
Also published as: JPH11331245A; US20010011277A1; US6553368B2; CA2262353A1; EP0955761B1; DE69916928D1; EP0955761A1

Description

HINTERGRUND DER ERFINDUNG
Diese Erfindung bezieht sich auf einen Mechanismus zum Verzeichniszugriffs, zum Beispiel Zugriffsmechanismen basierend auf Steuerungsdomänen des Direktzugriffs (Direct Access Control Domains, DACDs) im Internet.
Die Beliebtheit von Verzeichnisservern, die auf dem Modell gemäß ISO/CCITT X.500 basieren, hat mit der breiten Unterstützung des Lightweight Directory Access Protocol (LDAP) durch die Industrie zugenommen. LDAP ist durch RFC 1777 definiert. Es besteht der Wunsch zu versuchen, heterogene Information in diese Verzeichnisse entweder durch Verschieben der Daten von ihrem alten Format in dieses neuen Modell oder durch Abbilden des alten Modells auf das X.500-Modell zu integrieren. Dies ist jedoch nicht einfach und hat praktische Schwierigkeiten.
Die Verzeichnisdienste unter dem X.500-Modell basieren auf einer Objekthierarchie, wobei jeder Knoten in der Hierarchie einer gegebenen Detailstufe entspricht. Eine bestimmte Stelle in der Hierarchie wird durch eine Folge von Knoten die Hierarchie hinunter von der Wurzel bzw. Root oder dem Basisknoten bis zu dem in Frage stehenden Knoten identifiziert. Jeder Eintrag in der Hierarchie legt Attribute für den Eintrag dar. Obwohl es eine einzige logische Hierarchie gibt, können Teile der Hierarchie physikalisch getrennt sein. Damit die Hierarchie praktisch funktioniert, kennzeichnet daher jeder Knoten die physikalische Lokation der angrenzenden Knoten abwärts in der Hierarchie.
Um auf die Hierarchie zuzugreifen, werden Zugriffssteuerungslisten zur Verfügung gestellt. Diese können an Knoten über die gesamte Hierarchie hinweg zur Verfügung gestellt werden und definieren Zugriffssteuerungsrechte für unterschiedliche Benutzer und/oder Institutionen. Die Zugriffssteuerungsrechte beziehen sich auf Bereiche der lokalen Struktur (Domänen) der Hierarchie und nicht auf die physikalischen Lokationen der Knoten der Attribute für die Hierarchie. Somit ist es notwendig, wenn es beabsichtigt ist, Zugriff unter LDAP bereitzustellen, zum Beispiel auf Information, die unter einem zuvor existierenden, Nicht-X.500.Format erstellt wurde, das gesamte frühere Verzeichnis in das neue Verzeichnis zu kopieren, auf das mittels LDAP zugegriffen wird.
Ein Artikel mit dem Titel "Tie it all together: Directories have grown in complexity and size but there are ways to control the chaos" (Bruno, L., Data Communications Vol. 26, No. 3, 1. März 1997, S. 75–83) beschreibt ein Verfahren zur Vereinheitlichung der Inhalte von Verzeichnisdaten, die über verschiedene Plattformen verstreut sind und von unterschiedlichen Protokollen durch die Verwendung von Softwareagenten unterstützt werden, die das Metaverzeichnis bilden, wobei von diesen Softwareagenten ein zentrales Depotverzeichnis unterhalten und hinsichtlich aller Aktualisierungen an den Verzeichnissen bewertet wird.
Ein Artikel mit dem Titel "Building a meta-directory solution with Netscape Directory Server" (Netscape Corp., Rubinoff, http://poeple.netscape.com/rubinoff/sso) beschreibt ein Verfahren, Altlast- bzw. Legacy-Daten dem Produkt Netscape Directory Server verfügbar zu machen. Eine Eigen schaft "Virtuelles Verzeichnis" (S. 5) wird verwendet, um eintreffende LDAP-Anfragen an Altlast-Datenspeicher umzulenken, ohne die Altlast-Daten zu verschieben oder zu synchronisieren.
Ein Artikel mit dem Titel "Active Directory Service Interfaces: The Easy Way to Access and Manage LDAP-based Directories" (Microsoft Corp, White Paper, 1997, http://www.21st-century.net/Pub/Internet/Servers/Directory/ADSI/ADSI%20Whitepaper.doc) beschreibt die Verwendung von Active-Directory-Dienstschnittstellen (Active Directory Service Interfaces, ADSIs) zum Implementieren von LDAP. Die ADSIs sind Programmierschnittstellen, die ein Benutzer verwenden kann, um Anwendungen zum Verwalten von LDAP-fähigen Verzeichnissen zu schreiben.
Ein Artikel mit dem Titel "Microsoft Active Directory Service Interfaces: ADSI Open Interfaces for Managing And using Directory Services" 1997, http://www.21st-century.net/Pub/Internet/Servers/Directory/ADSI/ADSI%20Whitepaper.doc) stellt im Detail dar, wie der Benutzer diese APIs implementieren muß, um Verzeichnisse zu verwalten.
ZUSAMMENFASSUNG DER ERFINDUNG
Verschiedene Aspekte der Erfindung sind in den begleitenden unabhängigen und abhängigen Ansprüchen dargelegt.
Gemäß einem ersten Aspekt der Erfindung wird ein Verzeichniszugriffsverfahren, das durch einen Computer implementiert ist, zur Verfügung gestellt. Das Verfahren weist folgende Schritte auf:

i) ein Verzeichnisdienst, der so betreibbar ist, daß er auf ein Verzeichnis unter einem vorgegebenen Protokoll zugreift, reagiert auf eine Zugriffsanforderung auf Information unter diesem vorgegebenen Protokoll, die in einer vorgegebenen Umgebung außerhalb dieses Verzeichnisses verfügbar ist, wobei diese Umgebung unter einem unterschiedlichen Protokoll betrieben wird; und
ii) der Verzeichnisdienst verwendet eine Zugriffsmethode für diese Umgebung, um auf die Information zuzugreifen, dadurch gekennzeichnet, daß die Zugriffsmethode aus einem Objekt der Steuerungsdomäne für Verzeichniszugriffe für eine Domäne dieses Verzeichnisses geholt wird.

Somit versetzt eine Ausführungsform der Erfindung einen unter einem vorgegebenen Verzeichniszugangsprotokoll betriebenen Verzeichnisdienst in die Lage, auf Daten in einer vorgegebenen Protokollumgebung zuzugreifen (z. B. Daten, die gemäß einem Speichermodell gespeichert sind, das unterschiedlich ist zu dem, auf dem das vorgegebene Verzeichniszugangsprotokoll beruht, oder einer anderen physikalischen Stelle oder einem anderen Protokoll), indem eine Attributzugriffsmethode konfiguriert wird und diese Methode zum Abholen von Information zum Beispiel aus einem Verzeichnis verwendet wird, das in der vorgegebenen Umgebung betrieben wird.
Nach einer Ausführungsform der Erfindung wird die Konfiguration der Zugriffsmethode durch Ausdehnen einer Domänendefinition erreicht, die normalerweise zur Zugriffskontrolle verwendet wird. Soweit auf eine Zugriffsmethode Bezug genommen wird, bildet diese einen Zugriffsprozeß oder -vorgang, der typischerweise durch einen Satz von Zugriffsparametern oder Computerbefehlen oder einer Kombination daraus implementiert ist. Die Zugriffsmethode wird über eine Domänendefi nition für eine Domäne des Verzeichnisses geholt. Die Domänendefinition kann auch Zugriffssteuerungsinformation beinhalten. Nach einer bestimmten Ausführungsform der Erfindung ist das Verzeichnis unter X.500 definiert.
Die Domänendefinition kann einen Zeiger auf eine Zugriffsmethode für die Domäne in der Umgebung beinhalten, die möglicherweise außerhalb des Verzeichnisses oder möglicherweise zusammen mit einer Definition eines Knotens in dem Verzeichnis gespeichert ist.
Nach einer bestimmten Ausführungsform der Erfindung ist das Protokoll das Lightweight Directory Access Protocol. Die Information, auf die zugegriffen werden soll, könnte typischerweise ein Attribut eines Eintrags in dem Verzeichnis sein.
Somit verwendet eine bestimmte Ausführungsform der Erfindung die Directory Access Control Domain (DACD), wie in der Spezifikation ISO/CCITT X.501(1993 E) definiert, nicht nur zum Speichern von Zugriffsrechten, sondern auch zum Speichern von Zugriffsmethoden. Die Zugriffsmethode zeigt auf einen Verzeichniseintrag, der die spezifischen Zugriffsmethodenparameter speichert.
Gemäß einem anderen Aspekt der Erfindung wird ein Verzeichnisserver für ein Computernetzwerk bereitgestellt, wobei dieser Verzeichnisserver aufweist: einen Verzeichnisdienst, der so betreibbar ist, daß er auf ein Verzeichnis unter einem vorgegebenen Protokoll zugreift; mindestens einen Bezeichner bzw. eine Kennung einer Zugriffsmethode zum Zugriff auf Information in einer vorgegebenen Umgebung außerhalb dieses Verzeichnisses, wobei diese Umgebung unter einem unterschiedlichen Protokoll betrieben wird; diesen Verzeichnisdienst, der so eingerichtet ist, daß er auf eine Zugriffsanforderung mittels dieser Kennung einer Zugriffsmethode unter diesem vorgegebenen Protokoll auf die Information in der Umgebung reagiert, dadurch gekennzeichnet, daß mindestens ein Bezeichner bzw. eine Kennung einer Zugriffsmethode einen Teil eines Objektes der Steuerungsdomäne für Verzeichniszugriffe für eine Domäne dieses Verzeichnisses bildet.
Die Erfindung stellt außerdem ein Computerprogrammprodukt auf einem Trägermedium zur Verfügung, wobei dieses Computerprogrammprodukt betrieben wird, daß es die Schritte des oben dargelegten Verfahrens ausführt.
KURZBESCHREIBUNG DER ZEICHNUNGEN
Beispielhafte Ausführungsformen der vorliegenden Erfindung werden nachfolgend nur als Beispiel unter Bezug auf die beigefügten Zeichnungen beschrieben, in denen sich gleiche Bezugszeichen auf gleiche Elemente beziehen und in denen:
1 eine schematische Darstellung einer Verzeichnisstruktur für einen Verzeichnisdienst ist;
2 eine schematische Darstellung einer Telekommunikationsumgebung ist, die eine Mehrzahl von über ein Netzwerk untereinander verbundener Stationen umfaßt;
3 eine schematische Darstellung einer Client-Server-Station ist;
4 eine schematische Darstellung eines Verzeichnisservers ist;
5 eine schematische Darstellung eines Nachrichtenformates für ein Verzeichniszugriffsprotokoll ist; und
6 ein Flußdiagramm der Funktionsweise einer Verzeichnissteuerung ist.
BESCHREIBUNG VON AUSFÜHRUNGSFORMEN
1 ist eine schematische Darstellung einer herkömmlichen Verzeichnisinformationsstruktur, die als eine Objekthierarchie gestaltet ist. Die Verzeichnisinformationsstruktur ermöglicht es, daß Informationen über Netzwerkbenutzer und Ressourcen gespeichert werden.
Die Verzeichnisstruktur weist zum Beispiel eine baumförmige Hierarchie 2 mit den Knoten 3, 4, etc. auf, die von einem Wurzelknoten 3 zu einer Mehrzahl von Einträgen 5 führt, die die Blätter der Hierarchie bilden. Innerhalb der Hierarchie gibt es definierte Domänen, z. B. die Domäne A5 und die Domäne B6.
Einer Domäne zugeordnet ist eine Zugriffssteuerungsliste (Access Control List, ACL) definiert. Diese ACLs definieren Zugriffssteuerungsrechte für unterschiedliche Benutzer und/oder Institutionen. Die ACL für eine gegebene Domäne ist dem höchsten Knoten innerhalb der Domäne zugeordnet und definiert die Zugriffssteuerungsrechte für die Domäne. Die ACL hat die erforderliche Granularität, jedoch nicht die Semantik der Zugriffsmethode. Zum Beispiel ist es eventuell nicht möglich zu definieren, daß Einträge wie Telefonnummern in einer Datenbank gespeichert werden und Einträge wie E-Mail-Adressen in einer anderen Datenbank gespeichert werden. Als eine Folge davon ist die Integration von nicht-X.500-basierten Attributdaten gemäß dem herkömmlichen Modell nicht möglich, ohne die gesamte Originalinformation in die betreffenden Einträge zu kopieren. Wenn zum Beispiel E-Mail-Adressen für die Einträge 5 in der Domäne A in einer anderen Datenbank gespeichert wären, würde es notwendig, eine vollständige Kopie dieser Information anzufertigen und in die Datenbank für die Einträge 5 zu übernehmen.
2 der beigefügten Zeichnungen ist eine schematische Darstellung eines Beispiels eines Computernetzwerkes, in dem fünf Stationen 10, 12, 14, 16 und 18 über ein Netzwerk 20 kommunizieren. Das Netzwerk könnte ein lokales Netzwerk (Local Area Network, LAN), ein Weitverkehrsnetzwerk (Wide Area Network, WAN) oder ein Intra- oder Inter-Netzwerk sein. Jede der Stationen könnte von einem einzelnen Computer oder von einem Netzwerk von Computern, zum Beispiel einem LAN oder einem WAN, gebildet werden. Außerdem sieht man, auch wenn nur fünf Stationen abgebildet sind, daß ein typisches Computernetzwerk viel mehr Stationen umfaßt, die in einer komplexen Verbindungsstruktur angeordnet sind. Die Verbindungsstruktur könnte auf einer logischen Ebene liegen oder könnte zumindest in Teilen eine hierarchische Struktur verwenden. Die individuellen Stationen können verschiedene Anfragen an das System stellen. sowohl aufeinander bezogen als auch über die Zeit hinweg. In einer typischen Situation bildet eine relativ kleinere Anzahl von Stationen Serverstationen und eine relativ größere Anzahl von Stationen bildet Clientstationen. In 2 wird angenommen, daß die Stationen 10 und 18 einen Verzeichnisdienst-Master bzw. einen Verzeichnisdienst-Slave unterstützen und daß die Stationen 12, 14 und 16 Anwendungen einschließlich eines Verzeichnisbenutzeragenten bzw. Directory User Agent (DUA) unterstützen.
Bestimmte Ausführungsformen der Erfindung werden nun beschrieben, die auf dem LDAP-Protokoll im Kontext einer Internet-Anwendung basieren. Man ist sich jedoch bewußt, daß die Erfin dung nicht darauf beschränkt ist und daß die Erfindung auf jede Kommunikationsnetzwerkanwendung Anwendung findet, bei der es erwünscht ist, unter verschiedenen Protokollen betriebene Verzeichnisse zu integrieren.
In einer speziellen Ausführungsform der Erfindung wird die Steuerungsdomäne für Verzeichniszugriffe (Directory Access Control Domain, DACD), wie in der Spezifikation ISO/CCITT X.501(1993 E) definiert, nicht nur zum Speichern von Zugriffsrechten, sondern auch zum Speichern von Zugriffsmethoden verwendet. Die Zugriffsmethode kann auf einen Verzeichniseintrag zeigen, der spezielle Parameter der Datenbankzugriffsmethode speichert, wobei es möglich ist, Nicht-X.500-Daten an ihrer ursprünglichen Stelle zu belassen und man kann dennoch in der Lage sein, mittels LDAP auf die Information zuzugreifen.
3 ist eine schematische Blockdarstellung einer Ausführungsform der Erfindung. In 3 beinhaltet ein Verzeichnisdienst 32 eine Verzeichnisdatenbank 34 auf einem Server 30. Die Verzeichnisdatenbank 34 beinhaltet eine X.500-Verzeichnisdatenbank.
Ein Directory User Agent (DUA) 38 für eine Anwendung 36 bildet einen Verzeichnis-Benutzer-Client in dem X.500-Modell zum Zugriff auf den Verzeichnisdienst 32, um Information aus der Verzeichnisdatenbank 34 zu lesen oder Information in sie zu schreiben. Es ist klar, daß es typischerweise eine große Anzahl von Anwendungen und DUAs 38 gibt, die Zugriff auf den Verzeichnisdienst 32 anfordern und vornehmen. Jedoch sind zum Zwecke der Veranschaulichung und der Einfachheit der Erläuterung in 3 nur eine Anwendung 36 und ein DUA 38 abgebildet.
Ein Zugriff durch den DUA 38 auf den Verzeichnisdienst 32 erfolgt mittels Anforderungsnachrichten 40 und Antwortnachrichten 42 unter einem herkömmlichen Protokoll, hier LDAP. Daher holt der Client 38 eine oder mehrere Antwortnachtrichten 42 ein, indem er eine Anforderung 40 an den Verzeichnisdienst 32 ausgibt. Die Anforderungsnachricht 40 kann eine Anforderung von Information, zum Beispiel über ein Attribut eines Netzwerkbenutzers oder einer Netzwerkressource sein (zum Beispiel eine Internet-Protokoll-(IP)-Adresse für den Benutzer oder die Ressource). Der Server 30 wird daraufhin eine oder mehrere Antwortnachrichten 42 auf die Anforderung 40 zurückgeben. Die Anforderungs- und Antwortnachrichten werden durch die Verwendung von in Beziehung stehenden Nachrichtenkennungen in den Nachrichten miteinander verbunden, typischerweise in den Headern für die Nachrichten.
Außerdem ist in 3 eine weitere Datenbank 48 auf einem weiteren Server 44 abgebildet. Die weitere Datenbank 48 kann einen Teil eines anderen Verzeichnisdienstes bilden, der unter einem anderen Protokoll betrieben wird, oder kann einfach eine Datenbank sein, die für die Datenbank auf dem Verzeichnisserver 30 relevante Information enthält, jedoch in einem nicht kompatiblen Format. In dem vorliegenden Beispiel wird angenommen, daß die weitere Datenbank 48 eine Vermittlungsdatenbank für eine Vermittlung 46 eines öffentlichen Telefonnetzes (Public Switched Telephone Network) ist. Die Vermittlungsdatenbank 48 enthält Telefonnummerninformation, wobei sich zumindest einige der Nummern auf Einträge in der Verzeichnisdatenbank 34 beziehen.
Nach einer Ausführungsform der Erfindung weist der Verzeichnisdienst 32 bei dem Server 30 einen DACD-Mechanismus auf, der nicht nur die Zugriffsrechte für Domänen, sondern auch Zugriffsmethoden definiert. Der DACD-Mechanismus kann gemäß ISO/CCITT X.501 (1993 E) eingerichtet werden mit der Ausnahme, daß er nicht nur Information bezüglich Zugriffssteuerungsrechten (d. h. wer kann auf was zugreifen), sondern auch Information über Zugriffsteuerungsmethoden (d. h. wie kann auf was zugegriffen werden) speichert. In einer bevorzugten Form der Erfindung weisen die Zugriffsteuerungsmethoden in dem DACD-Mechanismus Zeiger auf Verzeichniseinträge auf, die spezifische Datenbankzugriffsparameter enthalten. Auf diese Weise ist die Integration von Nicht-X.500-Datenbankattributen möglich, ohne alle Datenbankattribute in ein X.500-Format kopieren zu müssen.
4 ist eine schematische Darstellung von Aspekten eines Verzeichnisdienst-Masters 32 einer Ausführungsform der Erfindung, die für ein Verständnis der Erfindung von Bedeutung sind. Der Verzeichnisdienst umfaßt die Verzeichnisdatenbank 34 und eine Verzeichnissteuerung 60. Die Verzeichnissteuerung 60 reagiert auf eine Anforderungsnachricht 40 von einem DUA 38, um die notwendigen Operationen bezüglich der Datenbank 16 durchzuführen und eine oder mehrere Antwortnachrichten 42 an den Benutzer zurückzugeben.
5 enthält eine schematische Darstellung eines LDAP-Nachrichtenformats (LDAP Nachricht) 50, das eine Hülle vorsieht, die die gemeinsamen Felder enthält, die bei jedem Protokollaustausch benötigt werden. Die LDAP-Nachricht stellt eine Sequenz mit einer Nachrichtenkennung (Nachrichten-ID) 52 gefolgt von einem Protokoll-Operator (Protokoll-OP) 54 bereit. Die Nachrichten-ID hat einen eindeutigen Wert verglichen mit dem aller anderen ausstehenden Anforderungen in einer LDAP-Session. Die Nachrichten-ID wird in allen Antworten zurückgeliefert, die einer Anforderung entsprechen, in der die Nachrichten-ID ursprünglich verwendet wurde.

Die Protokoll-Operation, die von einer LDAP-Nachricht angegeben wird, kann herkömmlicherweise aus den folgenden Typen ausgewählt werden:

bindRequest	– leitet eine Protokoll-Sitzung zwischen einem Client und einem Server ein und legt die Parameter für die Sitzung dar;
bindResponse	– gibt eine Anzeige des Zustandes der Anforderung des Client zur Einleitung einer Sitzung zurück;
unbindRequest	– beendet eine Sitzung und hat keine definierte Antwort;
searchReaquest	– ermöglicht es einem Client, eine Suche einzuleiten und definiert: das Basisobjekt in dem Verzeichnis, bezüglich dessen die Suche durchgeführt werden soll; den Bereich der durchzuführenden Suche; eine Anzeige, wie Aliasnamen zu behandeln sind; eine Maximalgröße des zurückzuliefernden Suchergebnisses; eine Zeitbeschränkung für die Suche; eine Anzeige, welche Attribute zurückzugeben sind und ob Attributarten und/oder -werte zurückzugeben sind; und einen Filter, der Übereinstimmungseigenschaften definiert;
searchResponse	– gibt die Antwort auf eine Suchanforderung zurück, wobei typischerweise eine Sequenz von Antworten nötig ist, um die vollständige Antwort auf die Anforderung von dem Client zurückzuliefern;

modifyRequest	– ermöglicht es einem Client, eine Änderung eines Objektes in dem Verzeichnis anzufordern;
modifyResponse	– gibt das Ergebnis der Änderungsanforderung zurück;
addRequest	– ermöglicht es einem Client, das Hinzufügen eines Objektes zu dem Verzeichnis anzufordern;
addResponse	– gibt das Ergebnis der Hinzufügungsanforderung zurück;
delRequest	– ermöglicht es einem Client, das Löschen eines Objektes von dem Verzeichnis anzufordern;
delResponse	– gibt das Ergebnis der Löschanforderung zurück;
modifyRDNRequest	– ermöglicht es einem Client, eine Änderung der letzten Komponente (Relative Distinguished Name) des Namens eines Eintrages in dem Verzeichnis anzufordern;
modifyRDNResponse	– gibt das Ergebnis der RDN-Änderungsanforderung zurück;
compareDNRequest	– ermöglicht es einem Client, einen Attributwert mit einem Eintrag in dem Verzeichnis zu vergleichen;
compareDNResponse	– gibt das Ergebnis der Vergleichsanforderung zurück;
abandonRequest	– ermöglicht das Aufgeben bzw. Abbrechen einer Anforderung.

Somit ist die Verzeichnissteuerung 60 dafür ausgelegt, die notwendigen Operationen durchzuführen, um in der Lage zu sein, die passenden Antworten auf die unterschiedlichen oben angegebenen Anforderungen zurückzugeben.
Beim Antworten auf eine Zugriffsanforderung reagiert die Verzeichnissteuerung 60 auf eine DACD 62, um einen Zeiger 64 auf einen Verzeichniseintrag 66 zu identifizieren, der die Parameter zur Datenbankzugriffssteuerung für eine Datenbank enthält, in der die angeforderten Attribute gespeichert sind.
Daher ist es zum Beispiel möglich anzugeben, daß Telefonnummernattribute aus der Telekomvermittlungseinrichtung bei der Vermittlung 46 direkt über die für die Vermittlung passende Zugriffsmethode geholt werden sollen (z. B. durch direkten Zugriff auf die Vermittlungsdatenbank 48 oder durch Verwendung eines proprietären Protokolls), ohne daß irgendeine Kopie der Telefonnummer in der Verzeichnisdatenbank 34 gehalten zu werden braucht. Somit werden in dem Fall, daß eine Leseanforderung für die Telefonnummer eines Eintrages in der Verzeichnisdatenbank 34 von dem Verzeichnisserver 32 unter LDAP empfangen wird, die Telefonnummernattribute nicht aus der Verzeichnisdatenbank 34 gelesen, sondern stattdessen mittels der spezifischen Zugriffsmethode aus der Vermittlungsdatenbank 48 gelesen.
6 ist ein schematisches Flußdiagramm, das die Funktionsweise der Verzeichnisdienststeuerung 60 veranschaulicht.
In Schritt 110 wird eine Anforderung von einem DUA 38 empfangen. Die Anforderung kann zum Beispiel eine Anforderung sein, nach einem Attribut (z. B. einer Telefonnummer) eines gegebenen ausgezeichneten Namens (Distinguished Name, DN) zu suchen, z. B.:
Search DN = <ANY DN> phone number
Hier bezieht sich der ausgezeichnete Name auf einen Eintrag in der Verzeichnishierarchie, <ANY DN> bezieht sich auf einen passenden Schlüssel entlang der Verzeichnishierarchiekette und 'phone number' bezieht sich auf das gesuchte Attribut.
In Schritt 112 schaut die Verzeichnisdienststeuerung 60 auf die DACD nach der passenden Domäne, in der der hervorgehobene Name zu finden ist, um festzustellen, ob eine Zugriffsmethode für das betreffende Attribut angegeben ist.
Wenn keine Zugriffsmethode angegeben ist, dann greift die Verzeichnissteuerung in Schritt 114 auf die angeforderte Zugriffsmethode aus der Verzeichnisdatenbank 34 zu.
Wenn eine Zugriffsmethode gefunden wird, dann holt die Verzeichnissteuerung in Schritt 116 die angeforderten Attribute mittels der betreffenden Zugriffsmethode (zum Beispiel durch die Ausgabe einer passenden GET-Nachricht) und Wartens auf die Antwortnachricht.
Die Zugriffsmethoden könnten bei jedem Knoten in der Verzeichnisdatenbank 34 statisch oder dynamisch definiert werden.
Im Anschluß an Schritt 114 oder Schritt 116 werden die Attribute, auf die zugegriffen wurde, in Schritt 118 zurückgegeben.
Wenngleich die vorliegende Erfindung spezifisch im Kontext von LDAP-basierten Verzeichnisservern beschrieben wurde, um die Integration von Nicht-X.500-Daten durch Verwenden von ACLs zuzulassen, um nicht nur Zugriffsrechte zu steuern, sondern auch Zugriffsmethoden zu definieren, erkennt man, daß die Erfindung ebenso auf andere Verzeichnisspeicherprotokolle angewendet werden kann. Tatsächlich stellt die Erfindung allgemeiner die Verwendung von Zugriffssteuerungslisten bereit, um nicht nur Zugriffssteuerungsrechte, sondern auch Zugriffssteuerungsmethoden zu definieren.
Allgemeiner gesprochen kann eine Ausführungsform der Erfindung Zugriff auf Daten in einer vorgegebenen Umgebung bieten (z. B. Daten, die gemäß einem unterschiedlichen Speichermodell von dem, auf dem das vorgegebene Protokoll beruht, oder einer unterschiedlichen physikalischen Lokation oder einem unterschiedlichen Protokoll gespeichert sind), indem eine Attributzugriffsmethode konfiguriert wird und diese Methode verwendet wird, um die Information zum Beispiel aus einem Verzeichnis zu holen, das in der vorgegebenen Umgebung betrieben wird.
Obwohl der Speicher der ACL-Information als in dem Verzeichnisserver befindlich beschrieben wurde, könnte ebenso Speicher außerhalb des Verzeichnisservers (z. B. in einfachen bzw. unstrukturierten Daten) eingesetzt werden. Ferner könnte der Speicher der ACL-Information in dem Eintrag an der Spitze des durch die DACD definierten Teilbaums oder in der Tat in allen Einträgen in der DACD liegen. In der Tat könnte der Ort des Speichers der ACL-Information gemäß einer bestimmten Implementierung oder Anwendung ausgewählt werden.
Dementsprechend ist klar, daß, wenngleich bestimmte Ausführungsformen der Erfindung beschrieben wurden, viele Modifikationen/Ergänzungen und/oder Ersetzungen innerhalb des Schutzbereiches der vorliegenden Erfindung vorgenommen werden können.

Claims

Verfahren für den Zugriff auf ein Verzeichnis, welches durch einen Computer implementiert ist, wobei das Verfahren aufweist: i) ein Verzeichnisdienst (32), der so betreibbar ist, daß er unter einem vorbestimmten Protokoll auf ein Verzeichnis (34) zugreift, reagiert auf eine Anforderung (40) für den Zugriff auf Information unter dem vorbestimmten Protokoll, wobei die Information in einer vorbestimmten Umgebung (48) außerhalb des Verzeichnisses verfügbar ist, wobei die Umgebung unter einem anderen Protokoll arbeitet und ii) Verwenden eines Verfahrens des Zugriffs auf die Umgebung durch den Verzeichnisdienst, um auf die Information zuzugreifen, dadurch gekennzeichnet, daß das Zugriffsverfahren aus einem Objekt einer Steuerungsdomäne des Verzeichniszugriffs für eine Domäne des Verzeichnisses gewonnen wird.
Verfahren nach Anspruch 1, wobei das Objekt der Steuerungsdomäne des Verzeichniszugriffs außerdem Zugriffssteuerungsinformation aufweist.
Verfahren nach Anspruch 1 oder 2, wobei das Verzeichnis unter X.500 definiert ist.
Verfahren nach einem der Ansprüche 1 oder 3, wobei das Objekt der Steuerungsdomäne des Verzeichniszugriffs einen Zeiger auf ein Zugriffsverfahren auf die Domäne in der Umgebung aufweist.
Verfahren nach Anspruch 4, wobei das Zugriffsverfahren außerhalb des Verzeichnisses gespeichert wird.
Verfahren nach einem der Ansprüche 1 bis 5, wobei das Zugriffsverfahren mit einer Definition eines Knotens in dem Verzeichnis gespeichert wird.
Verfahren nach einem der vorstehenden Ansprüche, wobei das Protokoll das Lightweight-Verzeichniszugriffsprotokoll ist.
Verfahren nach einem der vorstehenden Ansprüche, wobei die Information ein Attribut eines Eintrags in dem Verzeichnis ist.
Verzeichnisserver (30) für ein Computernetzwerk, wobei der Verzeichnisserver aufweist: eine Verzeichnisdiensteinrichtung (32), die so betreibbar ist, daß sie unter einem vorbestimmten Protokoll auf ein Verzeichnis (34) zugreift, zumindest eine Kennung (64) eines Zugriffsverfahrens für den Zugriff auf Information in einer vorbestimmten Umgebung (48), die außerhalb des Verzeichnisses liegt, wobei die Umgebung unter einem anderen Protokoll arbeitet, wobei die Verzeichnisdiensteinrichtung so ausgestaltet ist, daß sie auf eine Zugriffsanforderung (40) unter dem vorbestimmten Protokoll für das Zugreifen auf die Information in der Umgebung unter Verwendung der Kennung des Zugriffsverfahrens reagiert, dadurch gekennzeichnet, daß die zumindest eine Kennung des Zugriffsverfahrens einen Teil eines Objektes einer Steuerungsdomäne des Verzeichniszugriffs für eine Domäne des Verzeichnisses bildet.
Server nach Anspruch 9, wobei das Objekt der Steuerungsdomäne des Verzeichniszugriffs auch Zugriffssteuerungsinformation aufweist.
Server nach Anspruch 9 oder 10, wobei die Verzeichnisdiensteinrichtung unter X.500 definiert ist.
Server nach einem der Ansprüche 9 bis 11, wobei das Objekt der Steuerungsdomäne des Verzeichniszugriffs einen Zeiger auf ein Zugriffsverfahren auf die Domäne in der Umgebung aufweist.
Server nach Anspruch 12, wobei das Zugriffsverfahren außerhalb des Verzeichnisses gespeichert ist.
Server nach einem der Ansprüche 9 bis 13, wobei das Zugriffsverfahren mit einer Definition eines Knotens in dem Verzeichnis gespeichert ist.
Server nach einem der Ansprüche 9 bis 14, wobei das Protokoll das Lightweight-Verzeichniszugriffsprotokoll ist.
Server nach einem der Ansprüche 9 bis 15, wobei die Information ein Attribut eines Eintrags in dem Verzeichnis ist.
Computerprogrammprodukt auf einem Trägermedium, wobei das Computerprogrammprodukt so betreibbar ist, daß es das Verfahren nach einem der Ansprüche 1 bis 8 ausführt.