أداء مصادقة LDAP بطيء

قابلية التطبيق

مؤسسة Splunk

الوصف

كان أداء المستخدمين بطيئا جدا عند إستخدام LDAP كطريقة مصادقة.
 

إستجلاء

LDAP:
LDAP، أو بروتوكول الوصول إلى الدليل خفيف الوزن، هو بروتوكول مفتوح يستخدم لتخزين البيانات واستردادها من بنية دليل هرمية. ويعد هذا القانون، الذي يستخدم عادة لتخزين المعلومات عن المنظمة وأصولها ومستخدميها، حلا مرنا لتحديد أي نوع من الكيانات وخصائصها.

خدمة الدليل:
تستخدم خدمة الدليل لتخزين البيانات وتنظيمها وتقديمها بتنسيق نوع قيمة المفتاح. في العادة، يتم تحسين الأدلة لعمليات البحث والبحث والقراءة على عمليات الكتابة، بحيث تعمل بشكل جيد للغاية للبيانات التي تتم الإشارة إليها غالبا ولكنها تتغير بشكل متكرر.

LDAP، أو بروتوكول الوصول إلى الدليل خفيف الوزن، هو بروتوكول إتصالات يحدد الطرق التي يمكن الوصول فيها إلى خدمة الدليل. وبشكل أعم، يعمل LDAP على تشكيل الطريقة التي يجب أن يتم بها تمثيل البيانات الموجودة في خدمة الدليل للمستخدمين، كما يحدد متطلبات المكونات المستخدمة لإنشاء إدخالات بيانات داخل خدمة دليل، ويلخص الطريقة التي يتم بها إستخدام عناصر بدائية مختلفة لتكوين الإدخالات. السمات:
يتم تخزين البيانات نفسها في نظام LDAP بشكل رئيسي في عناصر تسمى سمات. السمات هي أساسا أزواج قيم أساسية.

الإدخالات:
السمات بحد ذاتها ليست مفيدة جدا. ولكي يكون لها معنى، يجب ان تقترن بشيء. ضمن LDAP، أنت تستخدم خصائص ضمن مدخل. المدخل هو في الأساس مجموعة من السمات تحت اسم يستخدم لوصف شيء ما.

على سبيل المثال، يمكن أن يكون لديك إدخال لمستخدم في نظامك أو لكل صنف في مخزون. وهذا مماثل تقريبا لصف في نظام قاعدة بيانات علائقية أو لصفحة واحدة داخل دفتر عناوين (الخصائص هنا تمثل الحقول المختلفة في كل من هذه النماذج). بينما تحدد السمة جودة أو صفة لشيء ما، يصف المدخل العنصر نفسه ببساطة بتجميع تلك السمات تحت اسم.

تتم إضافة جميع الإدخالات إلى نظام LDAP كفروع على الأشجار التي تسمى أشجار معلومات البيانات، أو ITs.

يمثل DIT بنية تنظيمية مشابهة لنظام الملفات حيث يحتوي كل إدخال (بخلاف إدخال المستوى الأعلى) على إدخال أصل واحد تماما وقد يحتوي على أي عدد من الإدخالات الفرعية تحته. بما أن الإدخالات في شجرة LDAP يمكن أن تمثل أي شيء تقريبا، فإن بعض الإدخالات سيتم إستخدامها بشكل رئيسي لأغراض تنظيمية، مماثلة للأدلة الموجودة في نظام الملفات.

على سبيل المثال:

dn: sn=Ellingwood,ou=people,dc=digitalocean,dc=com

This line is called the entry's distinguished name (more on this later) and is used to identify the entry. It functions like a full path back to the root of the DIT. In this instance, we have an entry called sn=Ellingwood, which we are creating. The direct parent is an entry called ou=people which is probably being used as a container for entries describing people. The parents of this entry derived from the digitalocean.com domain name, which functions as the root of our DIT.Reference: https://www.digitalocean.com/community/tutorials/understanding-the-ldap-protocol-data-hierarchy-and-entry-components

LDAP authetication in Splunk in the end is querying a database and this query could be very broad if you don't set the right configurations in 
authetication.conf In the authetication.conf specification you can find out the following:

userBaseFilter = <string>
* OPTIONAL
* This is the LDAP search filter you wish to use when searching for users.
* Highly recommended, especially when there are many entries in your LDAP
  user subtrees
* When used properly, search filters can significantly speed up LDAP queries
* Example that matches users in the IT or HR department:
    * userBaseFilter = (|(department=IT)(department=HR))
    * See RFC 2254 for more detailed information on search filter syntax
* This defaults to no filtering.

This in turn allows to narrow down the amount of entries that the query needs to search on because it filters allows to look only into certain entries in the user subtrees.

قرار

كان لدى المستخدم UserBaseFilter مثل التالي:

userBaseFilter = (|(department=VP30)(department=VPIN)(department=VA02))

ربما لم يكن المستخدمون الذين يلاحظون هذا الأداء البطيء ينتمون إلى كافة الأقسام المدرجة في UserBaseFilter الأصلي. قم بإزالة قسم أو قسمين بحيث تكون عمليات البحث أقل إتساعا في كل مرة تحدث فيها المصادقة وذلك لأن خادم LDAP سيحتاج فقط إلى التحقق من إدخالات قسم واحد.
 

روابط ذات صلة

الإجابات الرئيسية:

لماذا تفشل مصادقة LDAP مع أخطاء "تجاوز حد الحجم" باستخدام Splunk 6.2 على Windows 2008 R2؟
https://answers.splunk.com/answers/179797/why-is-ldap-authentication-failing-with-size-limit.html

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
1.0	28-Sep-2026	الإصدار الأولي