1、中华人民共和国国家标准信息技术开放系统互连目录第部分概念模型和服务的概述发布实施国家技术监督局发布前言本标准等同采用国际标准信息技术开放系统互连目录第部分概念模型和服务的概述本标准无论在技术内容上还是在编排格式上均与国际标准保持一致仅在的示例中根据国情将人名和地名作了编辑性修改通过制定本标准为信息处理的目录服务提供了概念模型和服务之概述在信息技术开放系统互连目录总标题下目前包括以下个部分第部分即概念模型和服务的概述第部分即模型第部分即抽象服务定义第部分即分布操作过程第部分即协议规范第部分即选择属性类型第部分即选择客体类第部分即鉴别框架本标准的附录是提示的附录本标准由中华人民共和国电子工业部提出
2、本标准由电子工业部标准化研究所归口本标准起草单位电子工业部标准化研究所华北计算技术研究所本标准主要起草人冯惠李卫国黄家英郑洪仁前言国际标准化组织和国际电工委员会是世界性的标准化专门机构国家成员体它们都是的成员国通过国际组织建立的各个技术委员会参与制定针对特定技术范围的国际标准和的各技术委员会在共同感兴趣的领域内进行合作与和有联系的其他官方和非官方国际组织也可参与国际标准的制定工作对于信息技术和建立了一个联合技术委员会即由联合技术委员会提出的国际标准草案需分发给国家成员体进行表决发布一项国际标准至少需要的参与表决的国家成员体投票赞成国际标准是由信息技术联合技术委员会制定的在信息技术开放系统目录总
3、标题下包括以下个部分第部分概念模型和服务的概述第部分模型第部分抽象服务定义第部分分布式操作规程第部分协议规范第部分选择属性类型第部分选择客体类第部分鉴别框架附录仅提供参考信息引言本标准连同本系列标准的其他部分一起便于提供目录服务的各类信息处理系统的互连所有这样的系统连同它们所拥有的目录信息可以看作为一个整体称为目录目录中收录的信息总称为目录信息库可用于简化诸如应用实体人终端以及分布列表等客体之间的通信目录在开放系统互连中具有极其重要的作用其目的是允许在互连标准之外使用最少的技术协定完成下列各类信息处理系统的互连来自不同厂家的信息处理系统处于不同管理的信息处理系统具有不同复杂程度的信息处理系统不
4、同年代的信息处理系统本标准引入了目录及的概念并将其模型化概述了目录和所提供的服务和能力而本系列标准的其他部分则使用该模型来定义目录所提供的抽象服务并规定获得或传播该服务的协议中华人民共和国国家标准信息技术开放系统互连目录第部分概念模型和服务的概述国家技术监督局批准实施范围目录提供应用进程管理进程其他层实体以及远程通信服务所要求的目录能力这些能力一般具有用户友好的命名通过这种命名人们可以方便地确定客体并非所有的客体都需要有用户友好的命名同时名字地址映射则允许在客体与其位置之间建立动态联系例如后者允许网络进行自配置此时增加删除以及修改客体位置均不会影响的网络操作尽管目录可以建立在通用的数据库管理系
5、统之上但目录本身并不表示一种通用的数据库系统例如对于一个典型的通信目录来说一般假定查询操作比更新操作具有更高的频度更新速度则由人和组织而非网络来动态管理同时也无需同时发生全球更新的许诺即可用的同一信息其新旧版本两者的过渡情况是完全可以接受的目录系统具有这样一种特性除区分访问权限或不传播的更新的结果以外目录查询的结果与查询者的身份和所处的位置无关该特性就使得目录系统不适合于某些远程通信的应用例如某些类型的路由选择引用标准下列标准所包含的条文通过在本标准中引用而构成为本标准的条文本标准出版时所示版本均为有效所有标准都会被修订使用本标准的各方应探讨使用下列标准最新版本的可能性信息处理系统开放系统互连
6、基本参考模型信息技术开放系统互连目录第部分模型信息技术开放系统互连目录第部分抽象服务定义信息技术开放系统互连目录第部分分布式操作规程信息技术开放系统互连目录第部分协议规范信息技术开放系统互连目录第部分选择属性类型信息技术开放系统互连目录第部分选择客体类信息技术开放系统互连目录第部分鉴别框架信息技术开放系统互连抽象语法记法一规范信息处理系统文本通信远程操作第部分模型记法及服务定义信息处理系统文本通信远程操作第部分协议规范定义本章中所包含的定义使用第章中的缩略语参考模型定义本标准依据中提出的概念并使用其中定义的下列术语应用实体应用层应用进程应用协议数据单元应用服务元素基本目录定义目录用以提供目录服
7、务的一组协作的开放系统目录信息库由目录管理的信息的集合目录用户目录的端用户即访问目录的实体或个人目录模型定义本标准使用中定义的下列术语公用机构的目录管理域别名属性属性类型属性值目录信息树目录管理域目录系统代理目录用户代理可辨别名项名相关的客体专用的目录管理域相关可辨别名根目录模式下级客体上级项上级客体树分布式操作定义本标准使用中定义的下列术语链接组播参照指示缩略语公用机构的目录管理域目录访问点目录信息库目录信息树目录管理域目录系统代理目录系统协议目录用户代理开放系统互连专用的目录管理域相关可辨别名目录概述目录是一组协作的开放系统这些开放系统包含描述现实世界中的客体集合信息的逻辑数据库目录用户包
8、括个人和计算机程序如果得到许可可以阅读和修改信息或部分信息访问目录的每一个用户都由一个可被看作是应用进程的目录用户代理来表示以上概念见图所示图对目录的访问注本系列标准只讨论单一目录并考虑到以后通过单个统一的名字空间来创建一个包含多个系统并为多种应用服务的逻辑目录在这些系统之间是否要互工作则依赖于他们所支持的应用程序的需求而对客体的无意义的应用则无此需要单一的名字空间可以简化将来需要变化的互工作目录中的信息集中在一起称作目录信息库本标准的第章概述其结构目录为用户提供了严格定义的访问能力集合即目录的抽象服务该服务将在本标准的第章中概述它提供了一种简单的修改和检索能力该服务可以与本地功能一起提供端用
9、户所要求的能力目录可能是分布的甚至可能是分布很广的这主要取决于功能和组织要求第章中将概述与目录相应的模型其目的就是为各个成份提供合作框架以保证其完整性目录服务的提供和消费要求用户实际为与目录的各个功能部件应能相互协作在多数情况下还要求不同的开放系统中的应用进程间的协作并要求标准化的应用协议来管理这种协作这些将在第章中概述设计的目录系统可以支持来源广泛的多种应用而由所支持的应用自身性质来管理哪个客体列在目录中哪个用户访问信息以及他们将执行哪类访问应用可以是特殊的例如为电子邮件提供分布列表也可以是通用的例如个人间通信目录应用目录提供了在各应用间发挥其通用性的可能性单个客体可以与多个应用相关甚至有关
10、同一客体的同一条信息也可能与多个应用相关为此和定义了许多客体类和属性类型以满足这种广泛的应用使用目录的某些模式能适用于各种应用有关该领域的内容详见附录目录信息库注及其结构在中定义由有关客体的信息所构成的目录项组成其中每一项都包含一组与某个客体有关的信息而每项则由包含一个属性类型以及一个或多个属性值的属性构成在一个特定项中出现的属性的类型依赖于该项所描述的客体类中的项按树形排列在目录信息树中顶点代表项较高层靠近根的项通常代表诸如国家或组织的客体而较低的项则代表人或应用进程注在本系列标准中定义的服务仅对树结构的进行操作但并不排除将来可能存在于其他结构之中每一项都有一个可辨别名用以唯一而明确地标识这
11、个客体可辨别名的这种特性来源于信息的树形结构一个项的可辨别名由其上级项的可辨别名以及由该项特别指定的属性值可辨别值一起构成树中的有些叶片所代表的项为别名项而所有其他项则为客体项别名项指向客体项并为相应的客体项使用可替换名提供了基础目录执行一组规则以便在修改时能够保证仍然具有严格的格式这些规则即目录模式用以防止目录项可能出现这样的差错属性类型不符合客体类的要求属性值的格式不符合属性类型的要求甚至目录项包含了错误客体类的下级项图说明了上述有关的概念及其成份图给出了的一个示例该树给出了一些用于标识不同客体的属性类型的例子例如名字成都电子所激光打印机标识了应用实体激光打印机它在可辨别名中具有定位的地理
12、属性再如居民张三其名字为成都张三在其辨别名中有一个同样的地理属性的生成和形式目录模式的定义以及在增加项时为其选择可辨别名等均由各个管理机构负责各个管理机构之间的分级关系反映在树的形状中这些管理机构必须保证例如通过对出现在这些名中的属性类型和属性值进行细心管理使其在职责权限内的所有项都有清晰的可辨别名这种职责是根据目录模式从树的上级管理机构到下级管理机构逐级实施的注目录的抽象服务在中定义图及其项的结构图假设的目录信息树目录服务综述本章概述了目录向代表用户的提供的服务所有这些服务都用于响应来自对目录的请求在这些请求中包括与目录查询有关的请求见所述以及与目录修改有关的请求见所述此外还可以限定对服务的
13、请求见目录必须报告每一个目录请求的结果正常结果的格式为该目录请求专有并且直接来源于请求的说明大多数异常结果为几个请求所共有在中描述了这种可能性目录服务的许多方面目前并不由本系列标准中规定的标准来提供因此其相应的能力在未实现标准化之前应作为本地功能来提供这些能力包括任意项的增加和删除因此允许建立一分布式目录访问控制的管理即授权或禁止一个特殊用户对一段特殊信息执行某种特殊访问目录模式的管理知识信息的管理部分信息的复制注以上列表不一定完整不论是由于目录服务请求的结果还是由于通过其他本地方法而使发生改变目录都应保证新生成的仍然服从目录模式中的规则用户在访问目录期间通过目录服务访问点与目录建立联系在此期
14、间用户和目录可以有选择地相互鉴定彼此的身份服务限定服务控制可对各种服务请求实施多种服务控制其目的主要是限制用户对资源的使用以使目录服务不能超出权限这种控制是指对时间量结果大小搜索范围交互作用方式以及请求的优先级的限制安全参数每一个请求都可以带有支持安全机制的信息以保护目录信息这种信息可以包括用于各种保护的用户请求请求的数字签名与信息一起帮助校验方鉴别该签名筛选器有许多请求可带有筛选器而这些请求的结果包含与许多项有关的信息筛选器表示了目录项必须满足的一个或多个条件以便能正确地返回符合这些条件的操作结果通过使用筛选器可以使得返回的项的集合最小目录查询读读请求是针对一个特定的项其结果是返回该项的部分
15、或全部属性值如果提供其感兴趣的属性类型列表则只返回部分属性比较比较请求是针对一个特定项的一个特定的属性引起目录检验所提供的值是否与指定的属性值匹配注例如该请求可以用来执行口令检验尽管目录中的口令不可读但可作比较列表列表请求使目录返回中某个特定命名项的直接下级项的列表搜索搜索请求使目录返回满足某一筛选器的的某个特定部分中的所有项的信息同读请求一样从每一个项返回的信息由该项的部分或全部信息组成丢弃丢弃请求作为一个尚未完成的查询请求通知目录请求的始发方已不再对正在执行的请求感兴趣例如目录此时可以终止对请求的处理也可以丢弃到目前为止已得到的任何结果目录修改增加项增加项请求使增加一个新的叶项该项可以是客
16、体项也可以是别名项注该服务用于增加叶项例如人或应用实体并非通过重复应用该服务来增加所有的子树该服务可望在将来得以增强以适应更为通用的情况删除项删除项使得一个叶项从中被删除注同增加项请求那样该服务目前只针对真叶项进行操作可望在将来得以增强以适应更为通用的情况修改项修改项请求使目录对一个特殊项执行一系列改变不论是目录被全部改变了或是一点未变所遗留的仍然符合目录模式的要求可以允许的变化包括增加删除或替代属性或属性值修改相关可辨别名修改相关可辨别名请求使得中叶项既可以是客体项也可以是别名项的相关可辨别名通过不同的可辨别属性值的命名来修改其他结果差错任何服务都可能失败例如由用户提供的参数有问题在这种情况
17、下则报告差错在可能的地方返回差错信息以帮助用户改正错误问题然而通常只报告目录所遇到的第一个问题除了上面提到的用户提供的参数问题包括非法名或非法属性值的举例外差错也可能由于违反安全策略机制规则以及服务控制而引起参照指示一个服务可能因为连接到某个的特定的访问点不适于执行该服务请求例如因为受请求影响的信息逻辑上远离该服务访问点在这种情况下目录可以返回一个参照指示建议该可以在其上发出其请求的替换访问点注目录和各自都有权要求是否使用参照指示或者要求是否链接这些请求见可以通过服务控制的方法来表示其意愿而采用哪一种方法由目录进行最终判定分布式目录注目录的模型在中定义而分布式目录的操作规程在中规定功能模型目录
18、的功能模型见图所示图目录的功能模型目录系统代理是的一个应用进程作为目录的一部分其作用是提供对和或其他的访问可以使用存储在本地数据库中的信息或与其他交互作用以执行请求作为一种替换手段也可以将请求引导到可以帮助执行该请求的其他本地数据库完全依赖于实现组织模型单个组织管理的一个或多个以及零个或多个的集合可以构成目录管理域有关的组织可以选用或不选用来管理内的各功能成分之间的通信后面的几部分规定行为的某些方面为此某个内的一组如果设置了选项管理的组织则按单个的来操作既可以是公用机构的也可以是专用的这取决于是否由公共远程通信组织来管理注应该知道提供由成员支持的专用目录系统应符合国家规则的框架因此提供目录服务
19、的公用机构既可以给出也可以不给出上述的技术可能性专用的内部的操作和配置不属于考虑的范围模型的操作通过与一个或多个的通信与目录交互作用一个不必连接到任何特定的它可以与多个直接交互作用进行请求由于某些公用机构方面的原因该并不总要与执行请求的直接交互作用例如返回某些目录信息该也可能通过单个来访问目录为此各间也需要相互作用与执行的请求以及获得它未必需要的信息有关它也可以通过与代表该的其他交互作用来负责获得这种信息处理多种情况的请求如图图所示并分述如下在图中从收到一个参照指示并负责或者将该请求运送给是在来自的参照指示中予以命名或者将参照指示送回始发图参照指示注如果把参照指示返回给则不产生给的请求同样如果
20、把请求运送给则不给返回一个参照指示图参照指示在图中收到来自的参照指示并负责将请求直接重发给是在来自的参照指示中予以命名图给出了链接的示例在该链上目录请求可以在返回响应之前经过几个进行传递图链接图给出了组播的示例在这里与连接的通过将请求转发给两个或多个其他来执行请求给每一个转发的请求都是相同的图组播每一种方法都有其自身的优点例如图中所示的方法可以用于要求从本地负担的情况而在其他情况下则可能需要将上述各种更复杂的功能交互作用方法混合起来共同满足初始者的请求见图所示图多种方法的混合模式目录协议注在中定义的应用层协议允许不同开放系统中的和相互协作有两种目录协议目录访问协议定义在一个和一个之间的请求和结
21、果的交换目录系统协议定义在两个之间的请求和结果的交换每一个协议都由一个应用上下文定义并且每个协议都包含一组协议元素例如包含与查询和修改目录有关的协议元素每一个应用上下文都由应用服务元素构成定义的这些应用服务元素使用在中的远程操作服务来构造并支持他们的交互作用因此和则被定义成使用记法的远程操作和差错的集合附录提示的附录目录的应用目录环境注在本章中术语网络使用其一般涵义用于表示与任何远程通信服务有关的一组相互联系的系统和进程而不仅仅指的网络层目录在下列环境中存在并且提供服务许多远程通信网的规模都将很大并仍将不断经历如下变化各类客体未经报告或单个或成组地进入和离开网络由于在客体间增加或删除路径因此客
22、体的连接性尤其是网络结点将会改变客体的各种特性例如地址可用性物理位置可以在任何时候改变尽管总的改变速度可能很高但任意一个特定客体的有用生命期并不短一个客体被包含在通信中的机会远比改变其地址可用性物理位置等要多得多包含在当前远程通信服务中的客体由数字或其他符号串标识这样做可以为存储分配或处理带来方便但不便于人们使用目录服务特性对目录能力的需求来自尽可能地将网络用户从频繁的改变中隔离开来的要求这可以通过在用户和它所涉及的客体之间设置一个间接的层来完成这里还包含通过名字而不是通过其他例如地址来引用客体的用户目录应提供必要的映射服务提供一个更加用户友好的网络视图的要求例如使用别名提供黄皮书见等从而方便
23、地发现和使用网络信息目录允许用户获得与网络有关的各种信息并为用户提供维护分发和保密信息的能力目录使用的模式注本章只涉及目录的检索对于随时的应用假定目录的修改服务以必要的格式只用于维护综述在本标准中定义的目录服务是以发出的请求及其使用的参数为依据的但是应用设计者在考虑其应用的目录的信息检索要求时更注重使用面向目标的术语因此本章描述了许多与各种应用相关的使用目录服务的高级形式查找对目录的直接查找可能是最常见的目录查询它包含支持客体的可辨别名和一个属性类型的目录将返回任何与该属性类型对应的属性值这是一个最典型的目录功能当请求的属性类型对应于一个地址的特殊类型时可以获得该功能各类地址的属性类型都是标准
24、化的其中包括地址消息处理地址以及电话和电传号码查找由读服务支持并提供以下带普遍性的结论查找可以按照客体名而不是客体的可辨别名例如别名来进行源于各种属性类型的值可在单个的请求中请求一个极端的情况是返回该项的所有属性的值用户友好的命名对客体的命名应遵循这样的原则即尽最大可能地便于用户的记忆或使用具有这种性质的命名应是由客体固有的属性构成的而不是为此目的而人为设计的客体的名字应对所有引用它的应用来说都是通用的浏览对于许多面向用户的目录的使用来说用户或可能援引一个用户友好的或相反客体的命名以获得所要求的信息然而也可能用户只在看见时才知道因此目录的浏览能力允许用户在中游移以寻找合适的项浏览由列表和搜索服
25、务共同完成有时也可能结合读服务尽管在搜索服务中包括了读能力黄皮书有多种方法提供黄皮书类型的能力其中最简单的是以筛选为基础使用其值为分类的特定属性例如中定义的事务分类属性类型该方法并不要求在中建立的特殊信息只要求保证提供必有的属性然而在一般情况下在人口众多的地方搜索的代价是很高的这是因为筛选要求生成被筛选的全集可以采用一种替换方法该方法以建立特殊的子树为基础而该子树的命名结构则是专为黄皮书类型的搜索而设计的图给出了仅由别名项构成的黄皮书子树的一个示例而现实中对目录中存储的每个客体来说如果只存在一个客体项则黄皮书子树中的项可以是客体和别名项的混合组组是一个集合并且可以通过增加和删除操作而随时改变该
26、集合中的成员组本身也同其成员一样是一个客体可以请求目录指出某个特定的客体是否为一个组的成员列出一个组的成员组可以通过使用包含成员属性该属性类型在中定义并且该属性可有多个值的目录项予以支持以上两种能力可以分别通过比较和读方法来达到如果对于应用是有意义的话组的成员本身也可以是一个组但要求为避免循环而建立必要的循环验证和扩充服务图黄皮书方法鉴别许多应用都要求客体在被允许执行某种活动之前提供其身份证明目录为这种鉴别过程提供支持作为一种独立事件目录本身也要求对其用户进行自我鉴别即目录提供访问控制能力比较直接了当的鉴别方法称作简单鉴别它是以在目录项中拥有用户口令的目录为基础的在该目录中由项所指示的任何想要
27、使用某种服务的用户都能进行自我鉴别在请求服务时目录将确认或否认所提供的一个特定值是否为真正的用户口令这就阻止了持有不同口令的用户对服务的访问在使用简单鉴别的本地环境下交换口令一般说来是不恰当的目录可以有选择地提供防止对同一种功能的口令的重复使用或误用更复杂一些的方法称作强鉴别它以公开密钥加密体制为基础在这里目录相当于一个用户的公共密钥库有利于防止篡改用户可以从目录中获得彼此的公开密钥的步骤以及使用这些密钥彼此进行鉴别的步骤该步骤在中详细说明一般应用综述目录具有许多一般应用这些应用并不特定针对某个特殊的远程通信服务下面给出两种这样的应用个人间通信目录和系统间通信目录注上一条中描述的鉴别作为一种访
28、问形式可被看作是一般目录应用个人间通信该应用的目的是为人或其代理与其他人或组进行通信而提供信息应包含下列客体类个人组织职务和组也可能以不很直接的方式包含其他许多客体类其中包括国家组织和组织单元所涉及的而非用于命名的属性类型都是可寻址的属性类型一种典型的情况是对每一种通信方法来说一个特定个人用的项都有一个与之对应的地址通过该地址可以到达这个特定的个人这种地址可从包含下列内容的开放端列表中选取电话电子邮件用户电报物理投递例如邮政系统传真在有些情况下例如电子邮件目录项还具有一些附加信息例如可由用户设备处理的信息的类型如果支持鉴别则还需要用户口令和或凭证用于各种客体类的命名机制必须是用户友好的具有为提
29、供可替换名而建立的别名并在改变名字后保持其连续性在该应用中使用了下列访问形式查找用户友好的命名游览黄皮书和组对于不同的级别来说也可能使用鉴别系统间通信按照参考模型在中要求两种目录功能一是在应用层的操作它将应用实体标题映射到表示地址上另一是在网络层的操作它将地址映射到地址上子网连接点注本条其余只涉及应用层的情况如果通过其他方法不能方便地获得用于完成映射所要求的信息则可通过引用目录执行该功能来完成用户是应用实体并且有关的客体类或其子类也是应用实体所涉及的而非用于命名的主要属性类型为表示地址其他属性类型能够用于核实或找出应用实体类型或应用上下文的列表抽象语法等等而对目录功能本身来说则没有必要与鉴别相关的属性类型也可能是有用的使用的主要的访问形式是查找
