RDN (Relative Distinguished Name)
RDN (Relative Distinguished Name) — это относительное отличительное имя объекта в LDAP-каталоге. Если DN (Distinguished Name) — это полный путь к объекту в дереве, то RDN — это его уникальное имя в пределах родительского контейнера.
RDN состоит из пары «атрибут=значение». Например:
CN=Ivan Ivanov
Здесь:
- CN (Common Name) — тип атрибута;
Ivan Ivanov— его значение.
В составе полного DN запись будет выглядеть так:
CN=Ivan Ivanov,OU=Users,DC=company,DC=local
В этом примере CN=Ivan Ivanov — это RDN, а вся строка целиком — DN.
Какие существуют типы RDN в LDAP?
Тип RDN зависит от используемого атрибута. Наиболее распространённые варианты:
- CN (Common Name) — для пользователей, групп, сервисных учётных записей;
- OU (Organizational Unit) — для организационных единиц;
- DC (Domain Component) — для доменных компонентов;
- UID (User ID) — часто используется в Unix-LDAP;
- O (Organization) — для обозначения организации.
Тип RDN определяется схемой каталога и правилами конкретной инфраструктуры.
Как RDN используется в LDAP-серверах?
В LDAP RDN применяется для:
- идентификации объекта внутри родительского контейнера;
- формирования полного distinguished name;
- выполнения операций переименования (rename);
- перемещения объекта внутри дерева.
Когда объект перемещается в другую организационную единицу, его DN меняется, но сам RDN может остаться прежним. При переименовании меняется именно RDN.
Как RDN влияет на безопасность LDAP?
RDN напрямую участвует в механизмах контроля доступа и аудита:
- Разграничение прав. Политики доступа часто применяются к контейнерам или конкретным DN, частью которых является RDN.
- Уникальность объектов. В пределах одного контейнера RDN должен быть уникальным. Дублирование приведёт к ошибке создания объекта.
- Защита от инъекций. Некорректная обработка специальных символов в RDN может привести к LDAP-инъекциям или ошибкам поиска.
- Контроль изменений. Изменение RDN (переименование) фиксируется в журналах и может влиять на интеграции и сервисные зависимости.
RDN — это базовый строительный элемент DN. Он определяет имя объекта внутри родительского контейнера и участвует во всех ключевых операциях LDAP: создании, поиске, переименовании и управлении доступом.
