组织：中国互动出版网（http://www.china-pub.com）<br />
RFC文档中文翻译计划（http://www.china-pub.com/compters/emook/aboutemook.htm）<br />
E-mail：ouyang@china-pub.com<br />
译者：Bille（Bille&nbsp;&nbsp;bill_e@sina.com&nbsp;）<br />
译文发布时间：2001-5-8<br />
版权：本中文翻译文档版权归中国互动出版网所有。可以用于非商业用途自由转载，但必<br />
须保留本文档的翻译及版权信息。<br />
<br />
<br />
network&nbsp;working&nbsp;group&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;K.Zeilenga<br />
Request&nbsp;for&nbsp;comments：rfc3062&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;OpenLDAP&nbsp;foundation<br />
category：standards&nbsp;track&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;2001年2月<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<br />
LDAP口令修改扩展操作<br />
（RFC3062&nbsp;LDAP&nbsp;Password&nbsp;Modify&nbsp;Extended&nbsp;Operation）<br />
<br />
<br />
备忘录的作用<br />
这个文档为因特网社区详述了一个（因特网）标准跟踪协议，并且为进一步的改进寻求<br />
讨论意见和建议。要了解这个协议的标准化状态和地位，请参阅最新版的“Internet&nbsp;Official&nbsp;<br />
Protocol&nbsp;Standards"(STD&nbsp;1)。本文的分发不受限制。<br />
<br />
版权注意事项<br />
The&nbsp;Internet&nbsp;Society(2001)版权所有。<br />
<br />
摘要<br />
这个小型目录存取协议和外部认证服务的集成，引入了non-DN口令的身份认证，并允<br />
许非目录口令存储。因此，更新目录的机制（例如，修改）不能被用来改变一个用户的口令。<br />
这个文档描述了一个LDAP扩展操作，允许修改那些不依赖于身份认证形式也不依赖于存<br />
储机制的口令。<br />
<br />
本文档中的部分关键字"MUST","MUST&nbsp;NOT","REQUIRED","SHALL","SHALL&nbsp;<br />
NOT","SHOULD","SHOULD&nbsp;NOT","RECOMMENDED"和"MAY"&nbsp;已经在RFC2119中有了<br />
说明。<br />
<br />
1.	应用背景和目的<br />
小型目录存取协议（&nbsp;以下均用LDAP表示）[RFC2251]是设计用来支持很多认证机制的，<br />
包括简单用户名与口令的匹配。<br />
一般来讲，LDAP用户由一个目录入口所提供的唯一的名字（Distinguished&nbsp;Name[RFC2253]）<br />
确认，并且这个入口包含了一个有一个以上的用户口令（userPassword[RFC2256]）属性。<br />
&nbsp;&nbsp;&nbsp;&nbsp;这个协议不将口令连同他所对应的用户存处于一个目录服务器中，服务器可以使用适合<br />
口令存储的任何属性（例如，userPassword）,或者使用非目录（non-directory）存储。<br />
支持简单用户名/口令机制（例如，DIGEST-MD5）的中立SASL[RFC2222]应用集成向<br />
我们介绍了non-LDAP&nbsp;DN身份确认形式，并且使口令的存储成为了SASL服务供应商的职<br />
责。<br />
LDAP&nbsp;更新操作被设计在目录内，对入口的属性起作用。当某个用户没有DN身份认证，<br />
没有入口，或者服务器提供给他的口令没有入口属性时，LDAP更新操作就不能修改他的口<br />
令，这样我们就需要另一种替换机制。<br />
这个文档描述了一个可以允许目录客户更新用户口令的扩展LDAP操作。用户可以与<br />
一个用户入口相关联，用户可以作为一个LDAP&nbsp;DN代表，同样，用户的口令也可以存储在<br />
目录中。<br />
这个操作不可以在没有提供完备的保密和保护措施的情况下施行，也不可以匿名使用。<br />
<br />
2．&nbsp;口令更改的请求和响应<br />
这个口令更改操作是一个LDAPv3扩展操作[RFC2251,4.12节]，并且被对象认证标识符<br />
（the&nbsp;PBJECT&nbsp;IDENTIFIER&nbsp;passwdModifyOID）所认证，这部分详细说明了协议请求和响应<br />
的语法。(在此，译者用类C++的注释方法加以注释)<br />
PasswdModifyOID&nbsp;OBJECT&nbsp;IDENTIFIER&nbsp;::=1.3.6.1.4.1.4203.1.11.1&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;//认证<br />
PssswdModifyRequestValue&nbsp;::=SEQUENCE{&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;//请求<br />
&nbsp;&nbsp;&nbsp;&nbsp;UserIdentity&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;[0]&nbsp;&nbsp;&nbsp;OCTET&nbsp;STRING&nbsp;OPTIONAL&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;//用户身份认<br />
证<br />
&nbsp;&nbsp;&nbsp;&nbsp;Old&nbsp;Passwd&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;[1]&nbsp;&nbsp;&nbsp;OCTET&nbsp;STRING&nbsp;OPTIONAL&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;//原口令&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<br />
&nbsp;&nbsp;&nbsp;&nbsp;NewPasswd&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;[2]&nbsp;&nbsp;&nbsp;OCTET&nbsp;STRING&nbsp;OPTIONAL}&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;//新口令<br />
PasswdModifyResponseValue&nbsp;::=SEQUENCE{&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;//响应<br />
&nbsp;&nbsp;&nbsp;&nbsp;GenPasswd&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;[0]&nbsp;&nbsp;&nbsp;&nbsp;OCTET&nbsp;STRING&nbsp;OPTIONAL}&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;//生成的新口<br />
令<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;//以上标识<br />
均为8位字节字符串<br />
<br />
2．1．&nbsp;口令更改请求<br />
口令更改请求是一个有包含passwdModifyOID　OID的请求名（requestName）域的扩<br />
展请求（ExtendedRequest），并且它选择性的提供请求值域（requestValue&nbsp;field），如果请求<br />
值域（requestValue&nbsp;field）已被提供，它就可以包含一个口令更改请求值<br />
（PasswdModifyRequestValue）。<br />
用户认证域，如果有的话，将包含一个八位字节的字符串，代表此用户和相关联的请求，<br />
这个字符串可以是一个LDAPDN[RFC2253]。如果没有提供用户认证域，这个请求就作用于<br />
用户当前的LDAP口令。<br />
如果现存原口令（oldPasswd）域，它将包含用户的当前口令。<br />
如果现存新口令（newPasswd）域，它将包含用户希望更改为的新口令。<br />
<br />
2．	2&nbsp;&nbsp;&nbsp;更改响应<br />
口令更改响应就是，在退出口令修改操作后的一种扩展响应（ExtendedResponse），如<br />
果现存响应域，它将包含口令<br />
更改响应值，和生成的新口令。<br />
如果现存生成口令（genPasswd）域,她将包含一个此用户的新口令。<br />
如果响应中显示的不是成功（返回０），而是其他的结果，则响应域一定是不存在的。<br />
<br />
３．操作要求<br />
客户不应该在没有足够的安全保护措施的情况下提交口令更改请求，服务器也应相应的<br />
返回失败的信息，以提示客户。<br />
服务器亦应提供passwdModifyOID,作为扩展支持属性型的值，来表明他们支持上述的<br />
扩展操作。服务器可以选在建立了必要的安全服务保障或是授权给客户时，宣传此项扩展服<br />
务。客户也应该去证实服务器已经执行了这项扩展操作，这要比通过赋值去尝试好得多。<br />
服务器应只在成功的改变了用户的口令时返回成功信息，在没能成功的更改口令时，应<br />
保留原口令，并返回没成功的信息，提示用户。如果服务器不能识别所提供的域，或者不支<br />
持所提供域的联合，它将不改变用户口令。<br />
如果现存原口令，但提供的值不能通过验证，或者不是正确的值，服务器将不能改变用<br />
户的口令。如果原口令不存在，服务器将采取另外的策略来决定是否更改口令。<br />
如果客户自己提供了一个（他想要）的口令，服务器将不生成一个代表此客户的口令；<br />
如果客户自己没提供一个新的口令，服务器将生成一个代表此客户的口令，或者返回一个不<br />
成功操作的提示信息。服务器必须在生成口令域值正确的前提下，生成一个新的口令，并返<br />
回成功信息以提示客户。<br />
服务器应适当选择，返回<br />
adminLimitExceeded,busy,confidentialityRequired,operationsError,unavailable,unwillingToPerfor<br />
m,或是其他的（未成功）信息，来声明此操作没成功。<br />
服务器可以实施管理措施来限制这项操作。<br />
<br />
4．&nbsp;安全因素<br />
这个操作是用来进行口令更改的，它本身并不提供任何的安全保护措施来确保信息的完<br />
整性和隐蔽性，所以应用这个操作会让你感觉很沮丧——当没有信息隐蔽的保障，导致你的<br />
口令泄漏的时候。所以，这个扩展操作必须在有保密措施（例如Start&nbsp;TLS[RFC2830]）的情<br />
况下使用，其他情况下务必不要使用。<br />
<br />
5．&nbsp;参考书目<br />
[RFC2219]&nbsp;&nbsp;Bradner,&nbsp;S.,&nbsp;"key&nbsp;words&nbsp;for&nbsp;use&nbsp;in&nbsp;RFCs&nbsp;to&nbsp;Indicate&nbsp;Requirement&nbsp;Levels",<br />
&nbsp;BCP&nbsp;14,RFC&nbsp;2119,March&nbsp;1997.<br />
[RFC2222]&nbsp;&nbsp;Myers,&nbsp;J.,&nbsp;"Simple&nbsp;Authentication&nbsp;and&nbsp;Security&nbsp;Layer&nbsp;(SASL)",<br />
RFC&nbsp;2222,&nbsp;October&nbsp;1997.<br />
[RFC&nbsp;2251]&nbsp;&nbsp;Wahl,&nbsp;M.,&nbsp;Howes,&nbsp;T.&nbsp;and&nbsp;S.&nbsp;kille,&nbsp;"Lightweight&nbsp;Directory&nbsp;Access&nbsp;Protocol&nbsp;<br />
(v3)",<br />
RFC&nbsp;2251,December&nbsp;1997.<br />
[RFC2252]&nbsp;&nbsp;Wahl,&nbsp;M.,&nbsp;Coulbeck,&nbsp;A.,&nbsp;Howes,&nbsp;T.&nbsp;and&nbsp;S.&nbsp;Kille,<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"Lightweight&nbsp;Directory&nbsp;Access&nbsp;Protocol&nbsp;(v3):&nbsp;Attribute<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Syntax&nbsp;Definitions",&nbsp;RFC&nbsp;2252,&nbsp;December&nbsp;1997.<br />
<br />
[RFC2253]&nbsp;&nbsp;Wahl,&nbsp;M.,&nbsp;Kille,S.&nbsp;and&nbsp;T.&nbsp;Howes,&nbsp;"Lightweight&nbsp;Directory<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Access&nbsp;Protocol&nbsp;(v3):&nbsp;UTF-8&nbsp;String&nbsp;Representation&nbsp;of<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Distinguished&nbsp;Names",RFC&nbsp;2253,December&nbsp;1997.<br />
[RFC2256]&nbsp;&nbsp;Wahl,&nbsp;M.,&nbsp;"A&nbsp;Summary&nbsp;of&nbsp;the&nbsp;X.500(96)&nbsp;User&nbsp;Schema&nbsp;for&nbsp;use<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;with&nbsp;LDAPv3",&nbsp;RFC&nbsp;2256,&nbsp;December&nbsp;1997.<br />
<br />
[RFC2829]&nbsp;&nbsp;Wahl,&nbsp;M.,&nbsp;Alvestrand,&nbsp;H.,&nbsp;Hodges,&nbsp;J.&nbsp;and&nbsp;R.&nbsp;Morgan,<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"Authentication&nbsp;Methods&nbsp;for&nbsp;LDAP",&nbsp;RFC&nbsp;2829,&nbsp;May&nbsp;2000.<br />
<br />
[RFC2830]&nbsp;&nbsp;Hodges,&nbsp;J.,&nbsp;Morgan,&nbsp;R.&nbsp;and&nbsp;M.&nbsp;Wahl,&nbsp;"Lightweight&nbsp;Directory<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Access&nbsp;Protocol&nbsp;(v3):&nbsp;Extension&nbsp;for&nbsp;Transport&nbsp;Layer<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Security",&nbsp;RFC&nbsp;2830,&nbsp;May&nbsp;2000.<br />
<br />
6．&nbsp;致谢<br />
这篇文档借用了很多IETF文档的内容，是基于IETF&nbsp;LDAPext&nbsp;工作组的支持而来，在<br />
此表示深深谢意。<br />
<br />
7．&nbsp;作者地址<br />
Kurt&nbsp;D.Zeilenga<br />
OpenLDAP&nbsp;Foundation<br />
<br />
Email:Kurt@OpenLDAP.org<br />
<br />
8．&nbsp;完整版权陈述<br />
Copyright&nbsp;?&nbsp;The&nbsp;internet&nbsp;Society(2001).All&nbsp;Rights&nbsp;Reserved.<br />
本文档及其译本可以被复制并分发，它的衍生版本，包括评述，解释和应用帮助均可以<br />
（完整或部分的）复制，出版，和分发，没有任何类型的限制，但以上的版权说明和这一段<br />
说明（本段）必须要包含于其中。然而，本文档部分不可以做任何修改，例如不标明版权说<br />
明和不说明引用了Internet&nbsp;Society和其他Internet组织资料的说明等（当有需要建立一个<br />
Internet标准，或需要翻译成其他语言时除外）。<br />
以上限制有永久效应，因特网协会（Internet&nbsp;Society）及其转让者，继承者均不得将其<br />
撤回。<br />
本文档及其包含的信息是基于"AS&nbsp;IS"原则提出的，Internet协会和互联网工程组织<br />
（internet&nbsp;engineering&nbsp;task&nbsp;force）拒绝一切授权，但对不侵害所有权和某些特殊目的的授权<br />
没有限制。<br />
<br />
感谢<br />
Internet&nbsp;协会为此RFC编辑功能提供支持。<br />
<br />
RFC3062&nbsp;LDAP&nbsp;Password&nbsp;Modify&nbsp;Extended&nbsp;Operation&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;LDAP口令修改扩展操作<br />
<br />
<br />
1<br />
RFC文档中文翻译计划<br />