4.2. 디렉터리 트리 설계

문제가 있는 이름 변경을 방지하려면 네임스페이스가 최대한 플랫이어야 합니다. 디렉터리 트리를 계층화할수록 이름에 더 많은 구성 요소가 있을 수 있으며 이름이 변경될 가능성이 높아집니다.

디렉터리 트리 계층 구조를 설계하려면 다음 지침을 사용합니다.

다음 공통 오브젝트를 사용하여 구조를 정의합니다.

다음 다이어그램은 이러한 오브젝트를 사용하여 구성된 디렉터리 트리를 보여줍니다.

디렉터리 트리에서 분기를 계획할 때 분기 지점을 식별하는 데 사용할 속성을 결정합니다. 분기 지점은 ou=people,l=Japan,cn=Barbara Jansen 등과 같은 attribute-data 쌍입니다. DN은 이러한 특성 데이터 쌍으로 구성된 고유한 문자열입니다. 예를 들어, Example Company 의 직원인 Barbara Jensen 에 대한 항목의 DN은 다음과 같습니다.

uid=bjensen,ou=people,dc=example,dc=com.

다음 다이어그램에서 ou=people,ou=groups,cn=Barbara Jensen,cn=Billie Holiday 분기 지점이 있는 Example Company 의 디렉터리 트리의 예를 참조하십시오.

다음 다이어그램에서 인터넷 공급자 예제 Example HCI의 디렉터리 트리 예제를 참조하십시오.

루트 접미사 항목 o=example,c=US 아래에 트리가 세 개의 분기로 나뉩니다. o=ISP 브랜치에는 고객 데이터 및 Example Cryostat에 대한 내부 정보가 포함되어 있습니다. o=internet 분기는 도메인 트리입니다. ou=groups 분기에는 관리 그룹에 대한 정보가 포함되어 있습니다.

분기 지점의 속성을 선택할 때 다음 권장 사항을 고려하십시오.

복제할 항목을 계획합니다. 하위 트리 상단에 DN을 지정하고 그 아래의 모든 항목을 복제할 수 있습니다. 이 하위 트리는 디렉터리 데이터의 일부를 포함하는 디렉터리 부분인 데이터베이스에도 해당합니다.

예를 들어 엔터프라이즈 환경에서는 엔터프라이즈의 네트워크 이름에 해당하도록 디렉터리 트리를 구성할 수 있습니다. 네트워크 이름은 변경 되지 않으므로 디렉터리 트리 구조가 안정적입니다.

예를 들어, Example Company의 세 가지 주요 네트워크는lightd Cryostat.example.com , ticket .example.com, ticket.example.com, hangar.example.com 이라는 세 가지 주요 네트워크가 있습니다. 이 회사는 처음에 디렉터리 트리를 주요 조직 부서의 세 가지 주요 그룹으로 분기합니다. 다음 그림에서 디렉터리 트리의 초기 분기를 참조하십시오.

트리의 초기 구조를 만든 후 회사는 추가 분기를 생성합니다. 다음 그림에서 확장 분기를 참조하십시오.

또 다른 예에서 인터넷 공급자인 ExampleHCI에는 공급자 요구 사항을 충족하기 위해 다음과 같은 초기 분기가 있습니다.

나중에 ExampleHCI에서 논리 하위 그룹에 대한 추가 분기를 생성합니다. 다음 그림에서 확장 분기를 참조하십시오.

Enterprise Example Company와 호스팅 조직 둘 다 일반적으로 변경되지 않는 정보를 기반으로 데이터 계층을 설계합니다.

디렉터리 트리의 계층 구조를 사용하여 특정 유형의 액세스 제어를 활성화할 수 있습니다. 복제와 마찬가지로 유사한 항목을 그룹화한 다음 단일 분기에서 관리하는 것이 더 쉽습니다.

계층적 디렉터리 트리를 통해 관리할 수 있습니다. 예를 들어 마케팅 부서의 관리자에게 마케팅 항목에 대한 액세스 권한과 영업 부서의 관리자에게 영업 항목에 대한 액세스 권한을 부여하려면 해당 부서에 따라 디렉터리 트리를 설계합니다.

또한 디렉터리 트리가 아닌 디렉터리 콘텐츠를 기반으로 액세스 제어를 설정할 수 있습니다. ACS(액세스 제어 명령) 메커니즘을 사용하면 특정 항목이 특정 특성 값을 포함하는 모든 항목에 액세스할 수 있도록 허용할 수 있습니다. 예를 들어 영업 관리자에게 속성 값이 포함된 모든 항목에 액세스할 수 있는 ACI를 설정합니다.

그러나 ACI는 관리하기가 어려울 수 있습니다. 디렉터리 트리 계층 구조의 조직 분기 또는 두 가지 조합의 액세스 제어 방법을 결정합니다.

사용자 항목 이름은 고유해야 합니다. 일반적으로 사람 항목의 이름을 지정하려면 commonName 또는 cn 을 사용하여 상대 고유 이름(RDN)을 형성합니다. 예를 들어 Babs Jensen 이라는 이름의 항목에는 고유 이름(DN)이 cn=Babs Jensen,dc=example,dc=com 임을 가질 수 있습니다.

RDN에서 공통 이름만 사용하면 항목 이름을 고유하게 만들고 DN 이름 충돌을 유발하는 여러 동일한 항목이 생성될 수 있습니다.

cn=Babs Jensen+employeeNumber=23,dc=example,dc=com 과 같은 일반 이름 충돌을 방지합니다. 그러나 이로 인해 대규모 디렉터리의 일반 이름이 어색하게 될 수 있으며 유지 관리하기 어려울 수 있습니다.

더 나은 방법은 cn 이외의 일부 특성을 사용하여 사람 항목을 식별하는 것입니다. 다음 속성 중 하나를 사용하는 것이 좋습니다.

직접 항목 RDN에 대해 특성-데이터 쌍에 사용하는 경우 고유하고 영구 값인지 확인합니다. RDN 사용자 항목도 읽을 수 있어야 합니다. 예를 들어 DN uid=bjensen,dc=example,dc=com 은 uid=b12r56A,dc=example,dc=com 보다 더 선호되며 고유 이름을 기반으로 디렉터리 항목 변경과 같은 일부 디렉터리 작업을 간소화합니다. 또한 일부 디렉터리 클라이언트 애플리케이션에서는 uid 및 cn 속성이 사람이 읽을 수 있는 이름을 사용한다고 가정합니다.

사람이 호스팅 조직의 일부인 경우 nsManagedPerson 개체 클래스와 함께 inetOrgPerson 속성을 사용합니다.

다음 방법을 사용하여 그룹을 나타낼 수 있습니다.

호스팅된 환경에서는 groupOfUniqueNames 오브젝트 클래스를 사용하여 디렉터리 관리에 사용되는 그룹의 멤버라는 값을 포함하는 것이 좋습니다.

또한 ou=Groups 분기에서 디렉터리 관리에 사용하는 그룹 항목을 찾습니다.

조직 항목 이름은 고유해야 합니다. 조직의 법적 이름을 다른 속성 값과 함께 사용하면 o=example_a+st=Washington,o=ISP,c=US 와 같이 이름이 고유한지 확인하는 데 도움이 됩니다.

상표를 사용할 수도 있지만 고유하지는 않을 수 있습니다.

호스팅 환경에서 조직 항목에 다음 속성을 포함합니다.

디렉터리에는 지역, 상태, 국가, 장치, 서버, 네트워크 정보 및 기타 데이터 유형과 같은 다양한 정보를 나타내는 항목이 포함되어 있습니다. 이러한 유형의 항목에 대해 RDN에서 cn 속성을 사용합니다. 그룹 항목의 이름을 cn=administrators,dc=example,dc=com 으로 지정할 수도 있습니다.

경우에 따라 항목 오브젝트 클래스에서 commonName 속성을 지원하지 않는 경우가 있습니다. 대신 항목 오브젝트 클래스에서 지원하는 속성을 사용합니다. 이름 지정 속성은 항목에서 실제로 사용하는 속성에 해당하지 않아도 됩니다. 그러나 항목에 사용되는 DN 속성과 특성 간의 상관 관계가 있는 경우 디렉터리 트리를 더 쉽게 관리할 수 있습니다.