在LDAP中使用角色（Role）和组（Group）来管理用户

LDAP（轻量级目录服务器）越来越被广泛的使用，特别是在管理海量用户信息和管理身份认证信息的时候，LDAP被国内大多数企业所使用，从中国电信，中 国移动，新浪，和许多省市政府部门都使用LDAP来管理用户身份的信息。下面重点介绍在LDAP中管理用户的一些概念和技巧。

LDAP服务器使用树状结构来存储和查找用户的信息。这种树状结构比较适合用户身份信息的存储，因为无论在社会还是在企业中，对人的管理是分层的。 从地域上的国家、省市到区域，从企业的大部门到小部门，从总经理到小职员，所有的管理都是分层的。“人类的层次划分是社会活动的自然产物”，忘了这句话是 谁说的了，但是我们观察自己的周围环境，树状结构的分层无处不在，这也是LDAP为什么在人员管理上这么流行的原因，也是LDAP最初设计的需求。当然， 在这里我们不讨论人类社会活动现象，只讨论LDAP技术问题。

LDAP在存储树状结构的数据比关系型数据库有很大的优势。请试图想想在关系数据库中要实现这种树状的数据，需要费一番功夫，并且要定位层次比较深 的节点的数据需要经过复杂的查询和转换。但是LDAP这种树状的结构也有一个重要的缺点，就是很难反映出除了结构层次之外的其他关系（例如在同一个组织之 下的管理和被管理的关系），而且当组织结构经常发生变化的情况下，树状结构很难满足这种灵活性的要求。有树状结构特点决定，当一个组织变化的时候，这个组 织下的所有节点都需要一一变化。

因此，在LDAP中出现了Group（组）和Role（角色）来动态的管理节点之间的关系。例如，建立一个“管理员”的组或角色，然后可以将不同组 织结构下的人员放到“管理员”这个逻辑结构下。那么通过“管理员”这个虚拟的组织结构可以将不同物理组织下的人员动态的组合在一起。例如给“管理员”赋予 特殊的权力，使他们能够修改本机构中的人员信息。过了一段时间，如果需要将“管理员”这个逻辑组织取消或者改动，只需要在LDAP的单个节点上操作，而实 际“管理员”逻辑结构的成员们，不需要作任何的变化，原来是在哪个物理组织，现在也不用变化。这种Group（组）和Role（角色）的出现是增加了节点 之间的关联程度。

Group（组）和Role（角色）的功能基本相同，操作起来也很类似。那么Group（组）和Role（角色）到底有