home *** CD-ROM | disk | FTP | other *** search
/ Internet Info 1994 March / Internet Info CD-ROM (Walnut Creek) (March 1994).iso / networking / osi / x500 / osi-ds / osi-ds-26-02.txt < prev    next >
Text File  |  1992-11-02  |  42KB  |  1,117 lines
  1. Network Working Group                                    Wengyik Yeong
  2. INTERNET-DRAFT                       Performance Systems International
  3.                                                              Tim Howes
  4.                                                 University of Michigan
  5.                                                 Steve Hardcastle-Kille
  6.                                              University College London
  7.  
  8.  
  9.                  Lightweight Directory Access Protocol
  10.  
  11.  
  12.  
  13. 1.  Status of this Memo
  14.  
  15. This draft document will be submitted to the RFC Editor as a standards
  16. document. Distribution of this memo is unlimited. Please send comments
  17. to the authors, or the discussion group <osi-ds@cs.ucl.ac.uk>.
  18.  
  19. This document is an Internet Draft.  Internet Drafts are working docu-
  20. ments of the Internet Engineering Task Force (IETF), its Areas, and its
  21. Working Groups. Note that other groups may also distribute working docu-
  22. ments as Internet Drafts).
  23.  
  24. Internet Drafts are draft documents valid for a maximum of six months.
  25. Internet Drafts may be updated, replaced, or obsoleted by other docu-
  26. ments at any time.  It is not appropriate to use Internet Drafts as
  27. reference material or to cite them other than as a "working draft" or
  28. "work in progress."
  29.  
  30. Please check the I-D abstract listing contained in each Internet Draft
  31. directory to learn the current status of this or any other Internet
  32. Draft.
  33.  
  34. 2.  Abstract
  35.  
  36. The tremendous interest in X.500 [1,2] technology in the Internet has
  37. lead to efforts to reduce the high ``cost of entry'' associated with use
  38. of the technology, such as the Directory Assistance Service [3] and
  39. DIXIE [4]. While efforts such as these have met with success, they have
  40. been solutions based on particular implementations and as such have lim-
  41. ited applicability.  This document continues the efforts to define
  42. Directory protocol alternatives but departs from previous efforts in
  43. that it consciously avoids dependence on particular implementations.
  44.  
  45. The protocol described in this document is the first of a series of pro-
  46. tocols designed to provide access to the Directory while not incurring
  47. the resource requirements of the Directory Access Protocol (DAP). This
  48. protocol is specifically targeted at simple management applications and
  49.  
  50.  
  51.  
  52. Expires 2/15/93                                                 [Page 1]
  53.  
  54. LDAP                                                         August 1992
  55.  
  56.  
  57. browser applications that provide simple read/write interactive access
  58. to the Directory, and is intended to be a complement to the DAP itself.
  59.  
  60. 3.  Protocol Model
  61.  
  62. The general model adopted by this protocol is one of clients performing
  63. protocol operations against servers. In this model, this is accomplished
  64. by a client transmitting a protocol request describing the operation to
  65. be performed to a server, which is then responsible for performing the
  66. necessary operations on the Directory.  Upon completion of the necessary
  67. operations, the server returns a response containing any results or
  68. errors to the requesting client.  In keeping with the goal of easing the
  69. costs associated with use of the Directory, it is an objective of this
  70. protocol to minimize the complexity of clients so as to facilitate
  71. widespread deployment of applications capable of utilizing the Direc-
  72. tory.
  73.  
  74. Note that, although servers are required to return responses whenever
  75. such responses are defined in the protocol, there is no requirement for
  76. synchronous behavior on the part of either client or server implementa-
  77. tions: requests and responses for multiple operations may be exchanged
  78. by client and servers in any order, as long as clients eventually
  79. receive a response for every request that requires one.
  80.  
  81. Consistent with the model of servers performing protocol operations on
  82. behalf of clients, it is also to be noted that protocol servers are
  83. expected to handle referrals without resorting to the return of such
  84. referrals to the client. This protocol makes no provisions for the
  85. return of referrals to clients, as the model is one of servers ensuring
  86. the performance of all necessary operations in the Directory, with only
  87. final results or errors being returned by servers to clients.
  88.  
  89. This protocol is designed to run over connection-oriented, reliable
  90. transports, with all 8 bits in an octet being significant in the data
  91. stream.  Server implementations running over the TCP should provide a
  92. protocol listener on port xxx.
  93.  
  94. 4.  Elements of Protocol
  95.  
  96. For the purposes of protocol exchanges, all protocol operations are
  97. encapsulated in a common envelope, the LDAPMessage, which is defined as
  98. follows:
  99.  
  100.      LDAPMessage ::=
  101.          SEQUENCE {
  102.               messageID      MessageID,
  103.               protocolOp     CHOICE {
  104.                                   bindRequest         BindRequest,
  105.  
  106.  
  107.  
  108. Expires 2/15/93                                                 [Page 2]
  109.  
  110. LDAP                                                         August 1992
  111.  
  112.  
  113.                                   bindResponse        BindResponse,
  114.                                   unbindRequest       UnbindRequest
  115.                                   searchRequest       SearchRequest,
  116.                                   searchResponse      SearchResponse,
  117.                                   modifyRequest       ModifyRequest,
  118.                                   modifyResponse      ModifyResponse,
  119.                                   addRequest          AddRequest,
  120.                                   addResponse         AddResponse,
  121.                                   delRequest          DelRequest,
  122.                                   delResponse         DelResponse,
  123.                                   modifyRDNRequest    ModifyRDNRequest,
  124.                                   modifyRDNResponse   ModifyRDNResponse,
  125.                                   compareDNRequest    CompareRequest,
  126.                                   compareDNResponse   CompareResponse,
  127.                                   abandonRequest      AbandonRequest
  128.                              }
  129.          }
  130.  
  131.      MessageID ::= INTEGER (0 .. MaxInt)
  132.  
  133. The function of the LDAPMessage is to provide a envelope containing com-
  134. mon fields required in all protocol exchanges. At this time the only
  135. common field is a message ID, which is required to have a value greater
  136. than the value of the ID field of any previous request directed by an
  137. LDAP client to a given server in a single LDAP session.
  138.  
  139. The message ID value must be echoed in all LDAPMessage envelopes encap-
  140. sulting responses corresponding to the request contained in the LDAPMes-
  141. sage in which the message ID value was originally used.
  142.  
  143. In addition to the LDAPMessage defined above, the following definitions
  144. are also used in defining protocol operations:
  145.  
  146.      IA5String ::= OCTET STRING
  147.  
  148.  
  149. The IA5String is a notational convenience to indicate that, although
  150. strings of IA5String type encode as OCTET STRING types, the legal char-
  151. acter set in such strings is limited to the IA5 character set.
  152.  
  153.      LDAPDN ::= IA5String
  154.  
  155.      RelativeLDAPDN ::= IA5String
  156.  
  157.  
  158. An LDAPDN and a RelativeLDAPDN are respectively defined to be the
  159. representation of a Distinguished Name and a Relative Distinguished Name
  160. after encoding according to the specification in [5], such that
  161.  
  162.  
  163.  
  164. Expires 2/15/93                                                 [Page 3]
  165.  
  166. LDAP                                                         August 1992
  167.  
  168.  
  169.      <distinguished-name> ::= <name>
  170.  
  171.      <relative-distinguished-name> ::= <name-component>
  172.  
  173. where <name> and <name-component> are as defined in [5].
  174.  
  175.      AttributeValueAssertion ::=
  176.          SEQUENCE {
  177.               attributeType       AttributeType
  178.               attributeValue      AttributeValue
  179.          }
  180.  
  181.  
  182. The AttributeValueAssertion type definition  is similar to the one in
  183. the Directory standards.
  184.  
  185.      AttributeType ::= IA5String
  186.  
  187.      AttributeValue ::= OCTET STRING
  188.  
  189. An AttributeType value takes on as its value the textual string associ-
  190. ated with that AttributeType in the Directory standards. For example,
  191. the AttributeType 'organizationName' with object identifier 2.5.4.10 is
  192. represented as an AttributeType in this protocol by the string ``organ-
  193. izationName''.  In the event that a protocol implementation encounters
  194. an Attribute Type with which it cannot associate a textual string, an
  195. ASCII string encoding of the object identifier associated with the
  196. Attribute Type may be subsitituted.  For example, the organizationName
  197. AttributeType may be represented by the ASCII string "2.5.4.10" if a
  198. protocol implementation is unable to associate the string ``organiza-
  199. tionName'' with it.
  200.  
  201. A field of type AttributeValue takes on as its value an octet string
  202. encoding of a Directory AttributeValue type. The definition of these
  203. string encodings for different Directory AttributeValue types may be
  204. found in companions to this document that define the encodings of vari-
  205. ous attribute syntaxes such as [6].
  206.  
  207.      LDAPResult ::=
  208.          SEQUENCE {
  209.              resultCode    ENUMERATED {
  210.                              success                      (0),
  211.                              operationsError              (1),
  212.                              protocolError                (2),
  213.                              timeLimitExceeded            (3),
  214.                              sizeLimitExceeded            (4),
  215.                              compareFalse                 (5),
  216.                              compareTrue                  (6),
  217.  
  218.  
  219.  
  220. Expires 2/15/93                                                 [Page 4]
  221.  
  222. LDAP                                                         August 1992
  223.  
  224.  
  225.                              authMethodNotSupported       (7),
  226.                              strongAuthRequired           (8),
  227.                              noSuchAttribute              (10),
  228.                              invalidAttributeSyntax       (11),
  229.                              undefinedAttributeType       (12),
  230.                              inappropriateMatching        (13),
  231.                              constraintViolation          (14),
  232.                              attributeOrValueExists       (15),
  233.                              noSuchObject                 (20),
  234.                              aliasProblem                 (21),
  235.                              invalidAttributeSyntax       (22),
  236.                              isLeaf                       (23),
  237.                              aliasDereferencingProblem    (24),
  238.                              inappropriateAuthentication  (30),
  239.                              invalidCredentials           (31),
  240.                              insufficientAccessRights     (32),
  241.                              busy                         (33),
  242.                              unavailable                  (34),
  243.                              unwillingToPerform           (35),
  244.                              loopDetect                   (36),
  245.                              namingViolation              (40),
  246.                              objectClassViolation         (41),
  247.                              notAllowedOnNonLeaf          (42),
  248.                              notAllowedOnRDN              (43),
  249.                              entryAlreadyExists           (44),
  250.                              objectClassModsProhibited    (45),
  251.                              other                        (50)
  252.                            },
  253.              errorMessage  IA5String
  254.          }
  255.  
  256. The LDAPResult is the construct used in this protocol to return success
  257. or failure indications from servers to clients. In response to various
  258. requests, servers will return responses containing fields of type
  259. LDAPResult to indicate the final status of a protocol operation request.
  260. The errorMessage field of this construct may, at the servers option, be
  261. used to return an ASCII string containing a textual, human-readable
  262. error diagnostic. If the server chooses not to return a textual diagnos-
  263. tic, the errorMessage field of the LDAPResult type should contain a zero
  264. length string.
  265.  
  266. 4.1.  Bind Operation
  267.  
  268. The function of the Bind Operation is to initiate a protocol session
  269. between a client and a server, and to allow the authentication of the
  270. client to the server. The Bind Operation must be the first operation
  271. request received by a server from a client in a protocol session.  The
  272. Bind Request is defined as follows:
  273.  
  274.  
  275.  
  276. Expires 2/15/93                                                 [Page 5]
  277.  
  278. LDAP                                                         August 1992
  279.  
  280.  
  281.      BindRequest ::=
  282.          [APPLICATION 0] SEQUENCE {
  283.                              version   INTEGER (1 .. 127),
  284.                              name      LDAPDN,
  285.                              authentication CHOICE {
  286.                                   simple        [0] OCTET STRING
  287.                                   krbv42LDAP    [1] OCTET STRING,
  288.                                   krbv42DSA     [2] OCTET STRING
  289.                              }
  290.          }
  291.  
  292. Parameters of the Bind Request are:
  293.  
  294. -    version: A version number indicating the version of the protocol to
  295.      be used in this protocol session. Currently, the only legal value
  296.      of this field is the numeric value 1.
  297.  
  298. -    name: The name of the Directory object that the client wishes to
  299.      bind as.  This field may take on a null value for the purposes of
  300.      anonymous binds.
  301.  
  302. -    authentication: information used to authenticate the name, if any,
  303.      provided in the Bind Request. The ``simple'' authentication option
  304.      provides minimal authentication facilities, with the contents of
  305.      the authentication field consisting only of a cleartext password.
  306.      This option should be used when unauthenticated or anonymous binds
  307.      are to be performed, with the field containing a zero length string
  308.      in such cases. In instances when better authentication facilities
  309.      are required, the 'krbv42LDAP' and 'krbv42DSA' options should be
  310.      used, with the fields containing values as returned by the KERBEROS
  311.      [7] krb_mk_req() calls.  Kerberos version 4 authentication to the
  312.      LDAP server and the DSA is accomplished by using the ``krbv42LDAP''
  313.      and ``krbv42DSA'' authentication options, respectively.  Each octet
  314.      string should contain the kerberos ticket (e.g., as returned by
  315.      krb_mk_req()) for the appropriate service.  The suggested service
  316.      name for authentication to the LDAP server is "ldapserver".  The
  317.      suggested service name for authentication to the DSA is "x500dsa".
  318.      In both cases, the suggested instance name for the service is the
  319.      name of the host on which the service is running.  Of course, the
  320.      actual service names and instances will depend on what is entered
  321.      in the local kerberos principle database.
  322.  
  323. The Bind Operation requires a response, the Bind Response, which is
  324. defined as:
  325.  
  326.      BindResponse ::= [APPLICATION 1] LDAPResult
  327.  
  328. A Bind Response consists simply of an indication from the server of the
  329.  
  330.  
  331.  
  332. Expires 2/15/93                                                 [Page 6]
  333.  
  334. LDAP                                                         August 1992
  335.  
  336.  
  337. status of the client's request for the initiation of a protocol session.
  338.  
  339. Upon receipt of a Bind Request, a protocol server will authenticate the
  340. requesting client if necessary, and attempt to set up a protocol session
  341. with that client. The server will then return a Bind Response to the
  342. client indicating the status of the session setup request.
  343.  
  344. 4.2.  Unbind Operation
  345.  
  346. The function of the Unbind Operation is to terminate a protocol session.
  347. The Unbind Operation is defined as follows:
  348.  
  349.      UnbindRequest ::= [APPLICATION 2] NULL
  350.  
  351. The Unbind Operation has no response defined. Upon transmission of an
  352. UnbindRequest, a protocol client may assume that the protocol session is
  353. terminated. Upon receipt of an UnbindRequest, a protocol server may
  354. assume that the requesting client has terminated the session and that
  355. all outstanding requests may be discarded.
  356.  
  357. 4.3.  Search Operation
  358.  
  359. The Search Operation allows a client to request that a search be per-
  360. formed on its behalf by a server. The Search Request is defined as fol-
  361. lows:
  362.  
  363.      SearchRequest ::=
  364.          [APPLICATION 3] SEQUENCE {
  365.              baseObject    LDAPDN,
  366.              scope         ENUMERATED {
  367.                                 baseObject            (0),
  368.                                 singleLevel           (1),
  369.                                 wholeSubtree          (2)
  370.                            },
  371.              derefAliases  ENUMERATED {
  372.                                         neverDerefAliases     (0),
  373.                                         derefInSearching      (1),
  374.                                         derefFindingBaseObj   (2),
  375.                                         derefAlways           (3)
  376.                                    },
  377.              sizeLimit     INTEGER (0 .. MaxInt),
  378.              timeLimit     INTEGER (0 .. MaxInt),
  379.              attrsOnly     BOOLEAN,
  380.              filter        Filter,
  381.              attributes    SEQUENCE OF AttributeType
  382.      }
  383.  
  384.      Filter ::=
  385.  
  386.  
  387.  
  388. Expires 2/15/93                                                 [Page 7]
  389.  
  390. LDAP                                                         August 1992
  391.  
  392.  
  393.          CHOICE {
  394.              and                [0] SET OF Filter,
  395.              or                 [1] SET OF Filter,
  396.              not                [2] Filter,
  397.              equalityMatch      [3] AttributeValueAssertion,
  398.              substrings         [4] SubstringFilter,
  399.              greaterOrEqual     [5] AttributeValueAssertion,
  400.              lessOrEqual        [6] AttributeValueAssertion,
  401.              present            [7] AttributeType,
  402.              approxMatch        [8] AttributeValueAssertion
  403.          }
  404.  
  405.      SubstringFilter
  406.          SEQUENCE {
  407.              type               AttributeType,
  408.              SEQUENCE OF CHOICE {
  409.                initial          [0] IA5String,
  410.                any              [1] IA5String,
  411.                final            [2] IA5String
  412.            }
  413.          }
  414.  
  415. Parameters of the Search Request are:
  416.  
  417. -    baseObject: A LDAPDN that is the base object entry relative to
  418.      which the search is to be performed.
  419.  
  420. -    scope: An indicator of the scope of the search to be performed. The
  421.      semantics of the possible values of this field are identical to the
  422.      semantics of the scope field in the Directory Search Operation.
  423.  
  424. -    derefAliases: An indicator as to how alias objects should be han-
  425.      dled in searching.  The semantics of the possible values of this
  426.      field are, in order of increasing value:-
  427.  
  428.           neverDerefAliases: don't dereference aliases in searching
  429.           or in locating the base object of the search;
  430.  
  431.           derefInSearching: dereference aliases in subordinates of
  432.           the base object in searching, but not in locating the
  433.           base object of the search;
  434.  
  435.           derefFindingBaseObject: dereference aliases in locating
  436.           the base object of the search, but not when searching
  437.           subordinates of the base object;
  438.  
  439.           derefAlways: dereference aliases both in searching and in
  440.           locating the base object of the search.
  441.  
  442.  
  443.  
  444. Expires 2/15/93                                                 [Page 8]
  445.  
  446. LDAP                                                         August 1992
  447.  
  448.  
  449. -    sizelimit: A sizelimit that restricts the maximum number of entries
  450.      to be returned as a result of the search. A value of 0 in this
  451.      field indicates that no sizelimit restrictions are in effect for
  452.      the search.
  453.  
  454. -    timelimit: A timelimit that restricts the maximum time (in seconds
  455.      allowed for a search). A value of 0 in this field indicates that no
  456.      timelimit restrictions are in effect for the search.
  457.  
  458. -    attrsOnly: An indicator as to whether search results should contain
  459.      both attribute types and values, or just attribute types.
  460.  
  461. -    filter: A filter that defines the conditions that must be fulfilled
  462.      in order for the search to match a given entry.
  463.  
  464. -    attributes: A list of the attributes from each entry found as a
  465.      result of the search to be returned. An empty list signifies that
  466.      all attributes from each entry found in the search are to be
  467.      returned.
  468.  
  469. The results of the search attempted by the server upon receipt of a
  470. Search Request are returned in Search Responses, defined as follows:
  471.  
  472.      Search Response ::=
  473.          CHOICE {
  474.               entry          [APPLICATION 4] SEQUENCE {
  475.                                   objectName     LDAPDN,
  476.                                   attributes     SEQUENCE OF SEQUENCE {
  477.                                                       AttributeType,
  478.                                                       SET OF AttributeValue
  479.                                                  }
  480.                              },
  481.               resultCode     [APPLICATION 5] LDAPResult
  482.           }
  483.  
  484. Upon receipt of a Search Request, a server will perform the necessary
  485. search of the DIT.
  486.  
  487. The server will return to the client a sequence of responses comprised
  488. of:
  489.  
  490. -    Zero or more Search Responses each consisting of an entry found
  491.      during the search; with the response sequence terminated by
  492.  
  493. -    A single Search Response containing an indication of success, or
  494.      detailing any errors that have occurred.
  495.  
  496. Each entry returned will contain all attributes, complete with
  497.  
  498.  
  499.  
  500. Expires 2/15/93                                                 [Page 9]
  501.  
  502. LDAP                                                         August 1992
  503.  
  504.  
  505. associated values if necessary, as specified in the 'attributes' field
  506. of the Search Request.
  507.  
  508. 4.4.  Modify Operation
  509.  
  510. The Modify Operation allows a client to request that a modification of
  511. the DIB be performed on its behalf by a server.  The Modify Request is
  512. defined as follows:
  513.  
  514.      ModifyRequest ::=
  515.          [APPLICATION 6] SEQUENCE {
  516.               object         LDAPDN,
  517.               modification   SEQUENCE OF SEQUENCE {
  518.                                   operation      ENUMERATED {
  519.                                                       add       (0),
  520.                                                       delete    (1),
  521.                                                       replace   (2)
  522.                                                  },
  523.                                   modification   SEQUENCE {
  524.                                                     type    AttributeType,
  525.                                                     values  SET OF
  526.                                                               AttributeValue
  527.                                                  }
  528.                              }
  529.          }
  530.  
  531. Parameters of the Modify Request are:
  532.  
  533. -    object: The object to be modified. The Distinguished Name value of
  534.      this field should name the object to be modified after all aliases
  535.      have been dereferenced. The server will not perform any alias dere-
  536.      ferencing in determining the object to be modified.
  537.  
  538. -    A list of modifications to be performed on the entry to be modi-
  539.      fied.  The entire list of entry modifications should be performed
  540.      in the order they are listed, as a single atomic operation.  While
  541.      individual modifications may violate the Directory schema, the
  542.      resulting entry after the entire list of modifications is performed
  543.      must conform to the requirements of the Directory schema. The
  544.      values that may be taken on by the 'operation' field in each modif-
  545.      ication construct have the following semantics respectively:-
  546.  
  547.           add: add values listed to the given attribute, creating
  548.           the attribute if necessary;
  549.  
  550.           delete: delete values listed from the given attribute,
  551.           removing the entire attribute if no values are listed;
  552.  
  553.  
  554.  
  555.  
  556. Expires 2/15/93                                                [Page 10]
  557.  
  558. LDAP                                                         August 1992
  559.  
  560.  
  561.      replace: replace existing values of the given attribute
  562.      with the new values listed, creating the attribute if
  563.      necessary.
  564.  
  565. The result of the modify attempted by the server upon receipt of a
  566. Modify Request is returned in a Modify Response, defined as follows:
  567.  
  568.      ModifyResponse ::= [APPLICATION 7] LDAPResult
  569.  
  570. Upon receipt of a Modify Request, a server will perform the necessary
  571. modifications to the DIB.
  572.  
  573. The server will return to the client a single Modify Response indicating
  574. either the successful completion of the DIB modification, or the reason
  575. that the modification failed. Note that due to the requirement for atom-
  576. icity in applying the list of modifications in the Modify Request, the
  577. client may expect that no modifications of the DIB have been performed
  578. if the Modify Response received indicates any sort of error, and that
  579. all requested modifications have been performed if the Modify Response
  580. indicates successful completion of the Modify Operation.
  581.  
  582.  
  583. 4.5.  Add Operation
  584.  
  585. The Add Operation allows a client to request the addition of an entry
  586. into the Directory. The Add Request is defined as follows:
  587.  
  588.      AddRequest ::=
  589.          [APPLICATION 8] SEQUENCE {
  590.               entry          LDAPDN,
  591.               attrs          SEQUENCE OF SEQUENCE {
  592.                                   type          AttributeType,
  593.                                   values        SET OF AttributeValue
  594.                              }
  595.          }
  596.  
  597. Parameters of the Add Request are:
  598.  
  599. -    entry: the Distinguished Name of the entry to be added. Note that
  600.      all components of the name except for the last RDN component must
  601.      exist for the add to succeed.
  602.  
  603. -    attrs: the list of attributes that make up the content of the entry
  604.      being added.
  605.  
  606. The result of the add attempted by the server upon receipt of a Add
  607. Request is returned in the Add Response, defined as follows:
  608.  
  609.  
  610.  
  611.  
  612. Expires 2/15/93                                                [Page 11]
  613.  
  614. LDAP                                                         August 1992
  615.  
  616.  
  617.      AddResponse ::= [APPLICATION 9] LDAPResult
  618.  
  619. Upon receipt of an Add Request, a server will attempt to perform the add
  620. requested. The result of the add attempt will be returned to the client
  621. in the Add Response.
  622.  
  623. 4.6.  Delete Operation
  624.  
  625. The Delete Operation allows a client to request the removal of an entry
  626. from the Directory. The Delete Request is defined as follows:
  627.  
  628.      DelRequest ::= [APPLICATION 10] LDAPDN
  629.  
  630. The Delete Request consists only of the Distinguished Name of the entry
  631. to be deleted.  The result of the delete attempted by the server upon
  632. receipt of a Delete Request is returned in the Delete Response, defined
  633. as follows:
  634.  
  635.      DelResponse ::= [APPLICATION 11] LDAPResult
  636.  
  637. Upon receipt of a Delete Request, a server will attempt to perform the
  638. entry removal requested. The result of the delete attempt will be
  639. returned to the client in the Delete Response. Note that only leaf
  640. objects may be deleted with this operation.
  641.  
  642. 4.7.  Modify RDN Operation
  643.  
  644. The Modify RDN Operation allows a client to change the last component of
  645. the name of an entry in the Directory. The Modify RDN Request is defined
  646. as follows:
  647.  
  648.      ModifyRDNRequest ::=
  649.          [APPLICATION 12] SEQUENCE {
  650.               entry          LDAPDN,
  651.               newrdn         RelativeLDAPDN
  652.          }
  653.  
  654. Parameters of the Modify RDN Request are:
  655.  
  656. -    entry: the name of the entry to be changed.
  657.  
  658. -    newrdn: the RDN that will form the last component of the new name.
  659.  
  660. The result of the name change attempted by the server upon receipt of a
  661. Modify RDN Request is returned in the Modify RDN Response, defined as
  662. follows:
  663.  
  664.      ModifyRDNResponse ::= [APPLICATION 13] LDAPResult
  665.  
  666.  
  667.  
  668. Expires 2/15/93                                                [Page 12]
  669.  
  670. LDAP                                                         August 1992
  671.  
  672.  
  673. Upon receipt of a Modify RDN Request, a server will attempt to perform
  674. the name change. The result of the name change attempt will be returned
  675. to the client in the Modify RDN Response. The attributes that make up
  676. the old RDN are not deleted from the entry.
  677.  
  678. 4.8.  Compare Operation
  679.  
  680. The Compare Operation allows a client to compare an assertion provided
  681. with an entry in the Directory. The Compare Request is defined as fol-
  682. lows:
  683.  
  684.      CompareRequest ::=
  685.          [APPLICATION 14] SEQUENCE {
  686.               entry          LDAPDN,
  687.               ava            AttributeValueAssertion
  688.          }
  689.  
  690. Parameters of the Compare Request are:
  691.  
  692. -    entry: the name of the entry to be compared with.
  693.  
  694. -    ava: the assertion with which the entry is to be compared.
  695.  
  696. The result of the compare attempted by the server upon receipt of a Com-
  697. pare Request is returned in the Compare Response, defined as follows:
  698.  
  699.      CompareResponse ::= [APPLICATION 15] LDAPResult
  700.  
  701. Upon receipt of a Compare Request, a server will attempt to perform the
  702. requested comparison. The result of the comparison will be returned to
  703. the client in the Compare Response. Note that errors and the result of
  704. comparison are all returned in the same construct.
  705.  
  706. 4.9.  Abandon Operation
  707.  
  708. The function of the Abandon Operation is to allow a client to request
  709. that the server abandon an outstanding operation.  The Abandon Request
  710. is defined as follows:
  711.  
  712.      AbandonRequest ::= [APPLICATION 16] MessageID
  713.  
  714. There is no response defined in the Abandon Operation. Upon transmission
  715. of an Abandon Operation, a client may expect that the operation identi-
  716. fied by the Message ID in the Abandon Request has been abandoned. In the
  717. event that a server receives an Abandon Request on a Search Operation in
  718. the midst of transmitting responses to that search, that server should
  719. cease transmitting responses to the abandoned search immediately.
  720.  
  721.  
  722.  
  723.  
  724. Expires 2/15/93                                                [Page 13]
  725.  
  726. LDAP                                                         August 1992
  727.  
  728.  
  729. 5.  Protocol Element Encodings
  730.  
  731. The protocol elements of LDAP are encoded for exchange using the Basic
  732. Encoding Rules (BER) of ASN.1. However, due to the high overhead
  733. involved in using certain elements of the BER, the following additional
  734. restrictions are placed on BER-encodings of LDAP protocol elements:
  735.  
  736. (1)  Only the definite form of length encoding will be used.
  737.  
  738. (2)  Bitstrings and octet strings will be encoded in the primitive form
  739.      only.
  740.  
  741. 6.  Security Considerations
  742.  
  743. This version of the protocol provides facilities only for simple authen-
  744. tication using a cleartext password.
  745.  
  746. 7.  Bibliography
  747.  
  748. [1]  The Directory: Overview of Concepts, Models and Service
  749.      CCITT; Recommendation X.500, 1988
  750.  
  751. [2]  Information Processing Systems -- Open Systems Interconnection --
  752.      The Directory: Overview of Concepts, Models and Service
  753.      ISO/IEC JTC 1/SC21; International Standard 9594-1, 1988
  754.  
  755. [3]  Directory Assistance Service
  756.      M.T. Rose; RFC 1202, February 1991.
  757.  
  758. [4]  DIXIE protocol specification
  759.      T. Howes, M. Smith, B. Beecher; RFC1249, August 1991.
  760.  
  761. [5]  A String Representation of Distinguished Names
  762.      Steve Hardcastle-Kille; OSI-DS document 23
  763.  
  764. [6]  The String Representation of Standard Attribute Syntaxes
  765.      T. Howes, S. Hardcastle-Kille, W. Yeong, C.J. Robbins; OSI-DS docu-
  766.      ment 27
  767.  
  768. [7]  Kerberos Authentication and Authorization System
  769.      S.P. Miller, B.C. Neuman, J.I. Schiller, J.H. Saltzer; MIT Project
  770.      Athena Documentation Section  E.2.1, December 1987
  771.  
  772. [8]  The Directory: Models
  773.      CCITT; Recommendation X.501
  774.      ISO/IEC JTC 1/SC21; International Standard 9594-2, 1988
  775.  
  776. [10] The Directory: Abstract Service Definition
  777.  
  778.  
  779.  
  780. Expires 2/15/93                                                [Page 14]
  781.  
  782. LDAP                                                         August 1992
  783.  
  784.  
  785.      CCITT; Recommendation X.511
  786.      ISO/IEC JTC 1/SC21; International Standard 9594-3, 1988
  787.  
  788.  
  789.  
  790.  
  791.  
  792.  
  793.  
  794.  
  795.  
  796.  
  797.  
  798.  
  799.  
  800.  
  801.  
  802.  
  803.  
  804.  
  805.  
  806.  
  807.  
  808.  
  809.  
  810.  
  811.  
  812.  
  813.  
  814.  
  815.  
  816.  
  817.  
  818.  
  819.  
  820.  
  821.  
  822.  
  823.  
  824.  
  825.  
  826.  
  827.  
  828.  
  829.  
  830.  
  831.  
  832.  
  833.  
  834.  
  835.  
  836. Expires 2/15/93                                                [Page 15]
  837.  
  838. LDAP                                                         August 1992
  839.  
  840.  
  841.                                  Appendix A
  842.                           Complete ASN.1 Definition
  843.  
  844.  
  845.  
  846.      Lightweight-Directory-Access-Protocol DEFINITIONS ::=
  847.  
  848.      IMPLICIT TAGS
  849.  
  850.      BEGIN
  851.  
  852.      LDAPMessage ::=
  853.          SEQUENCE {
  854.            messageID      MessageID,
  855.           -- unique id in request,
  856.           -- to be echoed in response(s)
  857.            protocolOp     CHOICE {
  858.                searchRequest       SearchRequest,
  859.                searchResponse      SearchResponse,
  860.                modifyRequest       ModifyRequest,
  861.                modifyResponse      ModifyResponse,
  862.                addRequest AddRequest,
  863.                addResponse AddResponse,
  864.                delRequest DelRequest,
  865.                delResponse DelResponse,
  866.                modifyDNRequest ModifyDNRequest,
  867.                modifyDNResponse ModifyDNResponse,
  868.                compareDNRequest CompareRequest,
  869.                compareDNResponse CompareResponse,
  870.                bindRequest         BindRequest,
  871.                bindResponse        BindResponse,
  872.                abandonRequest      AbandonRequest,
  873.                unbindRequest       UnbindRequest
  874.           }
  875.          }
  876.  
  877.      BindRequest ::=
  878.          [APPLICATION 0] SEQUENCE {
  879.            version        INTEGER (1 .. 127),
  880.           -- current version is 1
  881.            name           LDAPDN,
  882.           -- null name implies an anonymous bind
  883.               authentication CHOICE {
  884.                                   simple        [0] OCTET STRING,
  885.                          -- a zero length octet string
  886.                          -- implies an unauthenticated
  887.                          -- bind.
  888.                                             -- Other values in later versions
  889.  
  890.  
  891.  
  892. Expires 2/15/93                                                [Page 16]
  893.  
  894. LDAP                                                         August 1992
  895.  
  896.  
  897.                                             -- of this protocol.
  898.                                   krbv42LDAP    [1] OCTET STRING,
  899.                                   krbv42DSA     [2] OCTET STRING
  900.                  -- values as returned by krb_mk_req()
  901.                              }
  902.          }
  903.  
  904.      BindResponse ::= [APPLICATION 1] LDAPResult
  905.  
  906.      UnbindRequest ::= [APPLICATION 2] NULL
  907.  
  908.      SearchRequest ::=
  909.          [APPLICATION 3] SEQUENCE {
  910.            baseObject     LDAPDN,
  911.            scope          ENUMERATED {
  912.                baseObject            (0),
  913.                singleLevel           (1),
  914.                wholeSubtree          (2)
  915.           },
  916.            derefAliases   ENUMERATED {
  917.                                   neverDerefAliases     (0),
  918.                                   derefInSearching      (1),
  919.                                   derefFindingBaseObj   (2),
  920.                                   alwaysDerefAliases    (3)
  921.                              },
  922.               sizeLimit      INTEGER (0 .. MaxInt),
  923.                              -- value of 0 implies no sizelimit
  924.               timeLimit      INTEGER (0 .. MaxInt),
  925.                              -- value of 0 implies no timelimit
  926.               attrsOnly     BOOLEAN,
  927.                              -- TRUE, if only attributes (without values)
  928.                              -- to be returned.
  929.               filter         Filter,
  930.               attributes     SEQUENCE OF AttributeType
  931.          }
  932.  
  933.      SearchResponse ::=
  934.          CHOICE {
  935.               entry          [APPLICATION 4] SEQUENCE {
  936.                                   objectName     LDAPDN,
  937.                                   attributes     SEQUENCE OF SEQUENCE {
  938.                                                    AttributeType,
  939.                                                    SET OF
  940.                                                      AttributeValue
  941.                                                  }
  942.                              },
  943.               resultCode     [APPLICATION 5] LDAPResult
  944.          }
  945.  
  946.  
  947.  
  948. Expires 2/15/93                                                [Page 17]
  949.  
  950. LDAP                                                         August 1992
  951.  
  952.  
  953.      ModifyRequest ::=
  954.          [APPLICATION 6] SEQUENCE {
  955.               object         LDAPDN,
  956.               modifications  SEQUENCE OF SEQUENCE {
  957.                                   operation     ENUMERATED {
  958.                                                   add      (0),
  959.                                                   delete   (1),
  960.                                                   replace  (2)
  961.                                                 },
  962.                                   modification  SEQUENCE {
  963.                                                   type     AttributeType
  964.                                                   values   SET OF
  965.                                                              AttributeValue
  966.                                                 }
  967.                              }
  968.          }
  969.  
  970.  
  971.      ModifyResponse ::= [APPLICATION 7] LDAPResult
  972.  
  973.      AddRequest ::=
  974.          [APPLICATION 8] SEQUENCE {
  975.               entry          LDAPDN,
  976.               attrs          SEQUENCE OF SEQUENCE {
  977.                                   type          AttributeType,
  978.                                   values        SET OF AttributeValue
  979.                              }
  980.          }
  981.  
  982.      AddResponse ::= [APPLICATION 9] LDAPResult
  983.  
  984.      DelRequest ::= [APPLICATION 10] LDAPDN
  985.  
  986.      DelResponse ::= [APPLICATION 11] LDAPResult
  987.  
  988.      ModifyRDNRequest ::=
  989.          [APPLICATION 12] SEQUENCE {
  990.               entry          LDAPDN,
  991.               newrdn         RelativeLDAPDN -- old RDN always deleted
  992.          }
  993.  
  994.      ModifyRDNResponse ::= [APPLICATION 13] LDAPResult
  995.  
  996.      CompareRequest ::=
  997.          [APPLICATION 14] SEQUENCE {
  998.               entry          LDAPDN,
  999.               ava            AttributeValueAssertion
  1000.          }
  1001.  
  1002.  
  1003.  
  1004. Expires 2/15/93                                                [Page 18]
  1005.  
  1006. LDAP                                                         August 1992
  1007.  
  1008.  
  1009.      CompareResponse ::= [APPLICATION 15] LDAPResult
  1010.  
  1011.      AbandonRequest ::= [APPLICATION 16] MessageID
  1012.  
  1013.      MessageID ::= INTEGER (0 .. MaxInt)
  1014.  
  1015.      LDAPDN ::= IA5String
  1016.  
  1017.      RelativeLDAPDN ::= IA5String
  1018.  
  1019.      Filter ::=
  1020.          CHOICE {
  1021.              and            [0] SET OF Filter,
  1022.              or             [1] SET OF Filter,
  1023.              not            [2] Filter,
  1024.              equalityMatch  [3] AttributeValueAssertion,
  1025.              substrings     [4] SubstringFilter,
  1026.              greaterOrEqual [5] AttributeValueAssertion,
  1027.              lessOrEqual    [6] AttributeValueAssertion,
  1028.              present        [7] AttributeType,
  1029.              approxMatch    [8] AttributeValueAssertion
  1030.          }
  1031.  
  1032.      LDAPResult ::=
  1033.          SEQUENCE {
  1034.              resultCode    ENUMERATED {
  1035.                              success                      (0),
  1036.                              operationsError              (1),
  1037.                              protocolError                (2),
  1038.                              timeLimitExceeded            (3),
  1039.                              sizeLimitExceeded            (4),
  1040.                              compareFalse                 (5),
  1041.                              compareTrue                  (6),
  1042.                              authMethodNotSupported       (7),
  1043.                              strongAuthRequired           (8),
  1044.                              noSuchAttribute              (10),
  1045.                              undefinedAttributeType       (11),
  1046.                              inappropriateMatching        (12),
  1047.                              constraintViolation          (13),
  1048.                              attributeOrValueExists       (14),
  1049.                              invalidAttributeSyntax       (15),
  1050.                              noSuchObject                 (20),
  1051.                              aliasProblem                 (21),
  1052.                              invalidDN                    (22),
  1053.                              isLeaf                       (23),
  1054.                              aliasDereferencingProblem    (24),
  1055.                              inappropriateAuthentication  (30),
  1056.                              invalidCredentials           (31),
  1057.  
  1058.  
  1059.  
  1060. Expires 2/15/93                                                [Page 19]
  1061.  
  1062. LDAP                                                         August 1992
  1063.  
  1064.  
  1065.                              insufficientAccessRights     (32),
  1066.                              busy                         (33),
  1067.                              unavailable                  (34),
  1068.                              unwillingToPerform           (35),
  1069.                              loopDetect                   (36),
  1070.                              namingViolation              (40),
  1071.                              objectClassViolation         (41),
  1072.                              notAllowedOnNonLeaf          (42),
  1073.                              notAllowedOnRDN              (43),
  1074.                              entryAlreadyExists           (44),
  1075.                              objectClassModsProhibited    (45),
  1076.                              other                        (50)
  1077.                            },
  1078.              errorMessage  IA5String
  1079.                            -- a zero length string signifies
  1080.                            -- that the server does not have
  1081.                            -- a string message to return
  1082.          }
  1083.  
  1084.      AttributeType ::= IA5String
  1085.                      -- text name of the attribute, or dotted
  1086.                      -- OID representation
  1087.  
  1088.      AttributeValue ::= OCTET STRING
  1089.  
  1090.      AttributeValueAssertion ::=
  1091.          SEQUENCE {
  1092.              attributeType        AttributeType,
  1093.              attributeValue       AttributeValue
  1094.          }
  1095.  
  1096.      SubstringFilter
  1097.          SEQUENCE {
  1098.              type               AttributeType,
  1099.              SEQUENCE OF CHOICE {
  1100.             initial          [0] IA5String,
  1101.             any              [1] IA5String,
  1102.             final            [2] IA5String
  1103.            }
  1104.          }
  1105.  
  1106.      IA5String ::= OCTET STRING
  1107.  
  1108.      MaxInt ::= 65535
  1109.      END
  1110.  
  1111.  
  1112.  
  1113.  
  1114.  
  1115.  
  1116. Expires 2/15/93                                                [Page 20]
  1117.