active-directory - 为 LDAP 中的新对象类选择 RDN？

Question

在 LDAP 中创建新对象类时选择 RDN 的最佳实践是什么？我知道您可以从 uid、cn、ou 等中进行选择，但是应该遵循哪些做法呢？

Answer 1

RDN 本质上是您的主键（的一部分）。同样的原则适用：

• 条目的独特之处（或事物的组合）。
• 不改变（或不经常改变）的东西。

Answer 2

使用 OpenLDAP 时，您可以选择对象上允许的任何属性作为 RDN（根据其 objectClasses），但在 ActiveDirectory 上，RDN 属性是在适当的模式中定义的 - 因此在使用预定义类时您没有选择权。

当您有选择时（使用 OpenLDAP 或在 ActiveDirectory 上使用您自己的模式），我建议使用有效识别底层条目的 RDN（当然，您的 RDN 在给定子树的子节点中必须是唯一的）。如果您确定单个 RDN 属性不足以唯一标识给定条目，OpenLDAP 还允许使用多值 RDN：

cn=Robert Smith+uid=rsmith,ou=people,dc=example,dc=com

Answer 3

也许使用预定义的 objectClasses 之一而不是创建一个新的 objectClasses 可能更明智。以下是常用派生类的列表。