git.sur5r.net Git - openldap/blob - doc/guide/admin/appendix-changes.sdf

   1 # $OpenLDAP$
   2 # Copyright 2007 The OpenLDAP Foundation, All Rights Reserved.
   3 # COPYING RESTRICTIONS APPLY, see COPYRIGHT.
   4
   5 H1: Changes Since Previous Release
   6
   7 The following sections attempt to summarize the new features and changes in OpenLDAP
   8 software since the 2.3.x release and the OpenLDAP Admin Guide.
   9
  10 H2: New Guide Sections
  11
  12 In order to make the Admin Guide more thorough and cover the majority of questions
  13 asked on the OpenLDAP mailing lists and scenarios discussed there, we have added the following new sections:
  14
  15 * {{SECT:When should I use LDAP?}}
  16 * {{SECT:When should I not use LDAP?}}
  17 * {{SECT:LDAP vs RDBMS}}
  18 * {{SECT:Backends}}
  19 * {{SECT:Overlays}}
  20 * {{SECT:Replication}}
  21 * {{SECT:Maintenance}}
  22 * {{SECT:Monitoring}}
  23 * {{SECT:Tuning}}
  24 * {{SECT:Troubleshooting}}
  25 * {{SECT:Changes Since Previous Release}}
  26 * {{SECT:Upgrading from 2.3.x}}
  27 * {{SECT:Common errors encountered when using OpenLDAP Software}}
  28 * {{SECT:Recommended OpenLDAP Software Dependency Versions}}
  29 * {{SECT:Real World OpenLDAP Deployments and Examples}}
  30 * {{SECT:OpenLDAP Software Contributions}}
  31 * {{SECT:Configuration File Examples}}
  32 * {{SECT:LDAP Result Codes}}
  33 * {{SECT:Glossary}}
  34
  35 Also, the table of contents is now 3 levels deep to ease navigation.
  36
  37
  38 H2: New Features and Enhancements in 2.4
  39
  40 H3: Better {{B:cn=config}} functionality
  41
  42 There is a new slapd-config(5) manpage for the {{B:cn=config}} backend. The
  43 original design called for auto-renaming of config entries when you insert or
  44 delete entries with ordered names, but that was not implemented in 2.3. It is
  45 now in 2.4. This means, e.g., if you have
  46
  47 >   olcDatabase={1}bdb,cn=config
  48 >   olcSuffix: dc=example,dc=com
  49
  50 and you want to add a new subordinate, now you can ldapadd:
  51
  52 >   olcDatabase={1}bdb,cn=config
  53 >   olcSuffix: dc=foo,dc=example,dc=com
  54
  55 This will insert a new BDB database in slot 1 and bump all following databases
  56  down one, so the original BDB database will now be named:
  57
  58 >   olcDatabase={2}bdb,cn=config
  59 >   olcSuffix: dc=example,dc=com
  60
  61 H3: Better {{B:cn=schema}} functionality
  62
  63 In 2.3 you were only able to add new schema elements, not delete or modify
  64 existing elements. In 2.4 you can modify schema at will. (Except for the
  65 hardcoded system schema, of course.)
  66
  67 H3: More sophisticated Syncrepl configurations
  68
  69 The original implementation of Syncrepl in OpenLDAP 2.2 was intended to support
  70 multiple consumers within the same database, but that feature never worked and
  71 was removed from OpenLDAP 2.3; you could only configure a single consumer in
  72 any database.
  73
  74 In 2.4 you can configure multiple consumers in a single database. The configuration
  75 possibilities here are quite complex and numerous. You can configure consumers
  76 over arbitrary subtrees of a database (disjoint or overlapping). Any portion
  77 of the database may in turn be provided to other consumers using the Syncprov
  78 overlay. The Syncprov overlay works with any number of consumers over a single
  79 database or over arbitrarily many glued databases.
  80
  81 H3: N-Way Multimaster Replication
  82
  83 As a consequence of the work to support multiple consumer contexts, the syncrepl
  84 system now supports full N-Way multimaster replication with entry-level conflict
  85 resolution. There are some important constraints, of course: In order to maintain
  86 consistent results across all servers, you must maintain tightly synchronized
  87 clocks across all participating servers (e.g., you must use NTP on all servers).
  88
  89 The entryCSNs used for replication now record timestamps with microsecond resolution,
  90 instead of just seconds. The delta-syncrepl code has not been updated to support
  91 multimaster usage yet, that will come later in the 2.4 cycle.
  92
  93 H3: Replicating {{slapd}} Configuration (syncrepl and {{B:cn=config}})
  94
  95 Syncrepl was explicitly disabled on cn=config in 2.3. It is now fully supported
  96 in 2.4; you can use syncrepl to replicate an entire server configuration from
  97 one server to arbitrarily many other servers. It's possible to clone an entire
  98 running slapd using just a small (less than 10 lines) seed configuration, or
  99 you can just replicate the schema subtrees, etc. Tests 049 and 050 in the test
 100 suite provide working examples of these capabilities.
 101
 102
 103 H3: Push-Mode Replication
 104
 105 In 2.3 you could configure syncrepl as a full push-mode replicator by using it
 106 in conjunction with a back-ldap pointed at the target server. But because the
 107 back-ldap database needs to have a suffix corresponding to the target's suffix,
 108 you could only configure one instance per slapd.
 109
 110 In 2.4 you can define a database to be "hidden", which means that its suffix is
 111 ignored when checking for name collisions, and the database will never be used
 112 to answer requests received by the frontend. Using this "hidden" database feature
 113 allows you to configure multiple databases with the same suffix, allowing you to
 114 set up multiple back-ldap instances for pushing replication of a single database
 115 to multiple targets. There may be other uses for hidden databases as well (e.g.,
 116 using a syncrepl consumer to maintain a *local* mirror of a database on a separate filesystem).
 117
 118
 119 H3: More extensive TLS configuration control
 120
 121 In 2.3, the TLS configuration in slapd was only used by the slapd listeners. For
 122 outbound connections used by e.g. back-ldap or syncrepl their TLS parameters came
 123 from the system's ldap.conf file.
 124
 125 In 2.4 all of these sessions inherit their settings from the main slapd configuration,
 126 but settings can be individually overridden on a per-config-item basis. This is
 127 particularly helpful if you use certificate-based authentication and need to use a
 128 different client certificate for different destinations.
 129
 130
 131 H3: Performance enhancements
 132
 133 Too many to list. Some notable changes - ldapadd used to be a couple of orders
 134 of magnitude slower than "slapadd -q". It's now at worst only about half the
 135 speed of slapadd -q. Some comparisons of all the 2.x OpenLDAP releases are available
 136 at {{URL:http://www.openldap.org/pub/hyc/scale2007.pdf}}
 137
 138 That compared 2.0.27, 2.1.30, 2.2.30, 2.3.33, and HEAD). Toward the latter end
 139 of the "Cached Search Performance" chart it gets hard to see the difference
 140 because the run times are so small, but the new code is about 25% faster than 2.3,
 141 which was about 20% faster than 2.2, which was about 100% faster than 2.1, which
 142 was about 100% faster than 2.0, in that particular search scenario. That test
 143 basically searched a 1.3GB DB of 380836 entries (all in the slapd entry cache)
 144 in under 1 second. i.e., on a 2.4GHz CPU with DDR400 ECC/Registered RAM we can
 145 search over 500 thousand entries per second. The search was on an unindexed
 146 attribute using a filter that would not match any entry, forcing slapd to examine
 147 every entry in the DB, testing the filter for a match.
 148
 149 Essentially the slapd entry cache in back-bdb/back-hdb is so efficient the search
 150 processing time is almost invisible; the runtime is limited only by the memory
 151 bandwidth of the machine. (The search data rate corresponds to about 3.5GB/sec;
 152 the memory bandwidth on the machine is only about 4GB/sec due to ECC and register latency.)
 153
 154 H3: New overlays
 155
 156 * slapo-constraint (Attribute value constraints)
 157 * slapo-dds (Dynamic Directory Services, RFC 2589)
 158 * slapo-memberof (reverse group membership maintenance)
 159
 160 H3: New features in existing Overlays
 161
 162 * slapo-pcache
 163   - Inspection/Maintenance
 164     -- the cache database can be directly accessed via
 165        LDAP by adding a specific control to each LDAP request; a specific
 166        extended operation allows to consistently remove cached entries and entire
 167        cached queries
 168   - Hot Restart
 169     -- cached queries are saved on disk at shutdown, and reloaded if
 170       not expired yet at subsequent restart
 171
 172 * slapo-rwm can safely interoperate with other overlays
 173 * Dyngroup/Dynlist merge, plus security enhancements
 174   - added dgIdentity support (draft-haripriya-dynamicgroup)
 175
 176 H3: New features in slapd
 177
 178 * monitoring of back-{b,h}db: cache fill-in, non-indexed searches,
 179 * session tracking control (draft-wahl-ldap-session)
 180 * subtree delete in back-sql (draft-armijo-ldap-treedelete)
 181
 182 H3: New features in libldap
 183
 184 * ldap_sync client API (LDAP Content Sync Operation, RFC 4533)
 185
 186 H3: New clients, tools and tool enhancements
 187
 188 * ldapexop for arbitrary extended operations
 189 * Complete support of controls in request/response for all clients
 190 * LDAP Client tools now honor SRV records
 191
 192 H3: New build options
 193
 194 * Support for building against GnuTLS
 195
 196
 197 H2: Obsolete Features Removed From 2.4
 198
 199 These features were strongly deprecated in 2.3 and removed in 2.4.
 200
 201 H3: Slurpd
 202
 203 Please read the {{SECT:Replication}} section as to why this is no longer in
 204 OpenLDAP
 205
 206 H3: back-ldbm
 207
 208 back-ldbm was both slow and unreliable. Its byzantine indexing code was
 209 prone to spontaneous corruption, as were the underlying database libraries
 210 that were commonly used (e.g. GDBM or NDBM). back-bdb and back-hdb are
 211 superior in every aspect, with simplified indexing to avoid index corruption,
 212 fine-grained locking for greater concurrency, hierarchical caching for
 213 greater performance, streamlined on-disk format for greater efficiency
 214 and portability, and full transaction support for greater reliability.