Verzeichnisse sind Datenspeicher und darin den klassischen (relationalen) Datenbanken verwandt. Oftmals stehen sogar hinter LDAP-Servern ganz normale Datenbanken. Trotzdem gibt es gewichtige Unterschiede zwischen Verzeichnissen und Datenbanken.

Verzeichnisse sind logisch zentralisierte Datenspeicher von physisch verteilten Informationen. Das bedeutet, dass die Daten eventuell partitioniert an verschiedenen Standorten vorliegen oder an mehrere Lokationen repliziert werden, aber jeder Client dieselbe Sicht auf die Daten hat. Die Daten sind meist hierarchisch organisiert und relativ statisch. Ziel ist es, einen einheitlichen Zugriff auf Daten mit anwendungsübergreifendem Charakter (etwa Adressen von Personen oder Ressourcen im Netzwerk) zu ermöglichen und diesen Zugriff anwendungsunabhängig zu steuern.

Bei Verzeichnissen handelt es sich stets um eine spezialisierte Nischenlösung. Daten, die für Verzeichnisse geeignet sind, haben folgende Eigenschaften:

• Die Daten werden von vielen Anwendungen benötigt.
• Die Clients, die auf die Informationen zugreifen, können
  geographisch verteilt sein.
• Aus Administrationsgründen können/müssen die
  Daten von unterschiedlichen Personen (etwa je Standort) gepflegt
  werden.
• Lesezugriff ist viel häufiger als Schreibzugriff.
• Für Updates sind keine Transaktionen notwendig. Ebenso ist
  ein Locking einzelner Daten nicht erforderlich.
• Bei (physisch) verteilten Verzeichnissen ist keine strenge
  Konsistenz notwendig.
• Die einzelnen Datenelemente sind nicht zu groß. Damit
  sind Replikationen zwischen den einzelnen Standorten effizient
  implementierbar.

Die besonderen Stärken von Verzeichnissen sind der schnelle Zugriff auf die Daten, die Unterstützung von hierarchisch organisierten Daten, zudem Attribute mit mehreren Werten und Suchergebnisse mit potenziell unterschiedlichen Ergebnistypen sowie die Replikationsmöglichkeit. Außerdem sind Verzeichnisse meist einfacher administrierbar als Datenbanken und erlauben eine sehr feine Granularität der Zugriffskontrolle.

Den Stärken steht allerdings auch eine Reihe von Schwächen gegenüber. Je nach Implementation kann beispielsweise der Schreibzugriff sehr langsam sein (insbesondere die Zeit, bis die Veränderung an alle Repliken weitergereicht wurde, kann lang sein). Wie schon erwähnt gibt es keine Möglichkeit Veränderungen transaktionsorientiert durchzuführen. Auch ein Locking einzelner Datenelemente existiert nicht, ebenso wenig wie Relationen zwischen diesen Elementen. Damit muss also die schreibende Anwendung die Datenintegrität sicherstellen. Auch die Abfragesprache ist nicht so ausgefeilt wie die für relationale Datenbanken.

Vor- und Nachteile von Verzeichnissen müssen also in jedem konkreten Anwendungsfall genau abgewogen werden. Die Entscheidung ist trotzdem meist einfach, da Verzeichnisse eingeführt werden, um existierende Lösungen zu ersetzen oder zu erweitern.

Die historischen Wurzeln kann man grob diesen drei Kategorien zuordnen: einmal der Verwaltung von Netzwerk-Ressourcen (etwa NDS, NIS), dann den Adressbuch-basierten Verzeichnissen (insbesondere von E-Mail-Anwendungen) und als dritter Kategorie dem Versuch, mit dem X.500-Standard ein globales Adressbuch zu definieren.

Beispiele für solche Verzeichnisse sind das Lotus-Domino-Verzeichnis (mit seiner E-Mail-Vergangenheit) und Microsofts Active Directory, dessen Geschichte auf die LAN-Manager-Domains und auf das Adressbuch von Microsoft Exchange zurückgeht.

OpenLDAP mit seinem Wappentier, dem OpenLDAP-Wurm (siehe Abbildung 3), basiert auf der Version 3.3 des LDAP-Servers der Universität von Michigan. OpenLDAP ist unter der "OpenLDAP Public License" verfügbar, die von der "Artistic License" (von Perl bekannt) abgeleitet ist. Die Quellen können von [3] heruntergeladen und mittels

> ./configure
> make depend
> make
> su -c "make install"

konfiguriert, kompiliert und installiert werden. Wer die Version 7 der SuSE-Distribution sein Eigen nennt, kann OpenLDAP auch wie gewohnt mit Yast installieren. Ein entsprechendes Start-Stop-Skript wird dann ebenfalls automatisch installiert. Der Start während der Bootphase kann über Einträge in /etc/rc.config gesteuert werden.

Abb. 3: Der OpenLDAP-Wurm.

Die zentralen Komponenten sind slapd und slurpd. Der slapd ist der eigentliche LDAP-Server während der slurpd für die Replikation der Änderungen an andere slapd-Instanzen zuständig ist. Der Backing-Store des LDAP-Servers ist eine LDBM- kompatible Datenbank (unter Linux typischerweise GDBM). Diese Datenbank ist besonders ausgelegt auf das Speichern von Key-Value-Paaren und bietet somit ein einfaches Interface für das Speichern von LDAP-Einträgen.

Konfiguriert wird der slapd über die Datei slapd.conf (je nach Konfiguration des OpenLDAP-Pakets unter /usr/local/etc/openldap oder /etc/ openldap). Hier werden die Zugriffsrechte, der Ort der LDBM-Datenbank, die Servertopologie usw. definiert. Es bietet sich an, erst mal die LDAP-Howto zu lesen, außerdem existiert ein Guide für die OpenLDAP-Administration, der Antwort auf die meisten Fragen geben sollte.