ما بروتوكول الوصول إلى الدليل الخفيف (LDAP)؟

• مصطلحات إدارة الهوية والوصول
• ما بروتوكول الوصول إلى الدليل الخفيف (LDAP)؟

بروتوكول الوصول إلى الدليل الخفيف (LDAP) هو بروتوكول مفتوح ومحايد تجاه الموردين تستخدمه التطبيقات للوصول إلى معلومات الدليل والحفاظ عليها عبر شبكة. الدليل هو مخزن مركزي للبيانات المتعلقة بمستخدمي المؤسسة ومجموعاتها وأجهزتها، ويُستخدم بروتوكول LDAP في الغالب لمصادقة المستخدمين مقابل هذا الدليل. يعمل بروتوكول LDAP في الخلفية عندما يسجل المستخدمون الدخول إلى حساب بريد إلكتروني خاص بالعمل أو شبكة VPN أو تطبيق داخلي للشركة باستخدام اسم مستخدم وكلمة مرور واحدة. بدلاً من احتفاظ كل تطبيق بقائمة المستخدمين الخاصة به، يتيح بروتوكول LDAP لعدة تطبيقات التحقق من بيانات الاعتماد مقابل دليل مركزي مشترك، ما يجعله تقنية أساسية لتسجيل الدخول إلى أنظمة الشركات.

صُمم بروتوكول LDAP ليكون بديلاً أبسط وأكثر كفاءة لبروتوكول الوصول إلى الدليل (DAP)، وهو بروتوكول وصول أقدم يستهلك قدرًا كبيرًا من الموارد وينتمي إلى معيار الدليل X.500. احتفظ بروتوكول LDAP بالفكرة الأساسية للدليل المنظم، مع التخلص من تعقيدات التنفيذ والعبء التشغيلي، ما جعله أسهل بكثير في الاعتماد.

LDAP مقابل Active Directory

على الرغم من الاعتقاد الشائع بأن LDAP وActive Directory بديلان متنافسان، فإنهما شيئان مختلفان تمامًا. LDAP هو مجموعة قياسية من القواعد، أو لغة مشتركة، للوصول إلى معلومات الدليل وإدارتها. ولا يخزن أي بيانات بحد ذاته؛ بل هو البروتوكول الذي تستخدمه التطبيقات للتواصل مع الدليل.

Active Directory (AD) هو منتج خدمة الدليل من Microsoft لتخزين المعلومات المتعلقة بالمستخدمين والمجموعات والأجهزة على شبكة وإدارتها. LDAP هو بروتوكول يستخدمه Active Directory للسماح للتطبيقات بقراءة البيانات من دليله وكتابتها فيه. وبعبارة أبسط، LDAP هو لغة يستطيع Active Directory التحدث بها. وبما أن LDAP معيار مفتوح ومحايد تجاه الموردين، فهو مدعوم من مجموعة متنوعة من منتجات وخدمات الدليل، بما في ذلك OpenLDAP وJumpCloud وOracle Internet Directory. يمكن للتطبيقات الاعتماد على البروتوكول نفسه بغض النظر عن الدليل الذي تختار المؤسسة تشغيله؛ وتُعد هذه المرونة أحد الأسباب الرئيسية وراء انتشار اعتماد LDAP على نطاق واسع.

كيف يعمل LDAP؟

يتبع LDAP نموذج العميل والخادم، حيث يكون العميل هو التطبيق الذي يحتاج إلى معلومات الدليل، مثل شاشة تسجيل الدخول أو برنامج البريد الإلكتروني، بينما يكون الخادم هو الدليل نفسه. يتضمن التفاعل المعتاد مع دليل LDAP إرسال العميل طلبًا، ثم يعالجه خادم LDAP مقابل الدليل ويرسل الخادم استجابة. لفهم كيفية تنظيم الدليل، من المفيد فهم ما يمكن تخزينه بداخله:

• الإدخال: سجل واحد في الدليل. يمثل الإدخال عادةً كيانًا واحدًا، مثل شخص أو مجموعة أو جهاز.
• السمات: أجزاء البيانات المرتبطة بإدخال، بما في ذلك الاسم أو عنوان البريد الإلكتروني أو رقم الهاتف أو القسم. لكل سمة نوع وقيمة.
• الاسم المميز (DN): هو "العنوان" الفريد الذي يحدد إدخالاً داخل الدليل، ما يعني أنه لا يمكن لإدخالين مشاركة الاسم المميز نفسه. ويُكتب على شكل مسار يتكون من اسم الإدخال بالإضافة إلى الفئات التي يندرج تحتها، ليحدد للدليل المكان الدقيق الذي يمكن العثور فيه على الإدخال.

تُنظم الإدخالات في تسلسل هرمي يُسمى شجرة معلومات الدليل (DIT). ومثل الهيكل التنظيمي للشركة، تتفرع شجرة معلومات الدليل من جذر عام إلى مجموعات أكثر تحديدًا، مثل الأقسام، ثم إلى إدخالات فردية، مثل المستخدمين. تجعل بنية الشجرة هذه الاسم المميز قابلاً للقراءة بصفته مسارًا، إذ يتتبع الاسم المميز لكل شخص المسار من أعلى الشجرة وصولاً إلى إدخاله.

حالات الاستخدام الشائعة لـ LDAP

يرجع كل ما يُستخدم فيه بروتوكول LDAP تقريبًا إلى فكرة رئيسية واحدة: يمكن للعديد من التطبيقات مشاركة مصدر مركزي موثوق للمعلومات حول المستخدمين والموارد بدلاً من أن يحتفظ كل تطبيق ببياناته الخاصة. في ما يأتي الطرق الأكثر شيوعًا التي تستخدم بها المؤسسات بروتوكول LDAP.

المصادقة والتفويض

تشمل حالة الاستخدام الرئيسية لبروتوكول LDAP كلاً من المصادقة والتفويض. تتضمن المصادقة التحقق من هوية المستخدم، ويحدث ذلك من خلال عملية الربط في LDAP: يرسل التطبيق هوية المستخدم وكلمة المرور، ثم يؤكد الدليل صحتهما أو يرفضهما. يتضمن التفويض تحديد الإجراءات التي يُسمح للمستخدم المصادق عليه بتنفيذها. تنظم أدلة LDAP المستخدمين في مجموعات، وتتحقق التطبيقات من عضوية المجموعة لمنح الوصول أو رفضه. على سبيل المثال، لا يمكن التعديل داخل نظام الرواتب إلا لأعضاء مجموعة "الموارد البشرية (HR)".

إدارة المستخدمين مركزيًا

تقليديًا، كان كل تطبيق يحتفظ بقائمته الخاصة بالمستخدمين وكلمات المرور. كان إعداد حسابات الموظف الجديد يعني في السابق إنشاء حسابات في أماكن متعددة واحدًا تلو الآخر، بينما كان إنهاء وصول الموظف عند مغادرته يعني البحث عن كل حساب من هذه الحسابات وتعطيله، ما كان يشكل خطرًا أمنيًا حقيقيًا إذا لم يُعطل أحدها. مع LDAP، يوجد دليل واحد تصادق جميع التطبيقات مقابلَه. والنتيجة هي إعداد أسرع للموظفين، وإنهاء وصول أكثر سلاسة عند مغادرتهم، وسياسات متسقة لكلمات المرور، وموقع مركزي لتدقيق من لديه حق الوصول إلى ماذا.

أساسيات تسجيل الدخول الأحادي (SSO)

بما أن كل تطبيق يمكنه الاتصال بالدليل نفسه، يوفر LDAP الأساس لتسجيل الدخول الأحادي (SSO)، حيث تعمل مجموعة واحدة من بيانات الاعتماد عبر أنظمة مختلفة. وللتوضيح، يُعد LDAP أساسًا لتسجيل الدخول الأحادي، وليس هو تسجيل الدخول الأحادي بحد ذاته. تتضمن تجربة تسجيل الدخول الأحادي الكاملة، التي يسجل فيها المستخدم الدخول مرة واحدة وينتقل بين التطبيقات من دون إعادة إدخال كلمة المرور، عادةً بروتوكولات إضافية، ولكن مصدر الهوية المشترك الأساسي يكون غالبًا دليل LDAP.

البحث عن جهات الاتصال

بما أن الدليل يحتوي على الأشخاص وسماتهم، يمكن للتطبيقات الاستعلام عنه بصفته دفتر عناوين مشتركًا على مستوى الشركة. على سبيل المثال، قد يُكمل برنامج البريد الإلكتروني عنوان زميل تلقائيًا بمجرد أن يبدأ المستخدم في كتابة اسمه، أو قد يُظهر البحث في "دليل الموظفين" داخل أداة داخلية معلومات أحد الزملاء. وهنا يعمل LDAP تمامًا كما هو مصمم له: فالأدلة محسّنة للقراءة ومصممة للتعامل مع عدد كبير من عمليات البحث السريعة، مما يجعلها مناسبة تمامًا لهذا النوع من الاستعلامات.

تخزين معلومات التكوين

بالإضافة إلى بيانات الأشخاص، يمكن للدليل تخزين إدخالات لموارد الأجهزة، بما في ذلك طابعات الشبكة والخوادم والأجهزة المشتركة. يتيح ذلك للتطبيقات والمستخدمين اكتشاف هذه الموارد والاتصال بها من مكان مركزي واحد بدلاً من تكوين كل مورد يدويًا. قد تحدد محطة عمل موقع طابعة قريبة من خلال الدليل، أو قد يسترد نظام ما إعدادات الجهاز عند بدء التشغيل. وعلى الرغم من أن حالة الاستخدام هذه أقل شيوعًا، فإنها توضح مرونة LDAP.

منافذ LDAP والأمان

يتواصل LDAP افتراضيًا عبر المنفذ 389، وهو المنفذ القياسي لحركة مرور LDAP. ومع ذلك، فإن LDAP غير مشفر بحد ذاته، ولذلك تنتقل البيانات بنص واضح. يمكن لأي شخص يتمكن من اعتراض حركة المرور هذه قراءتها، بما في ذلك المعلومات الحساسة مثل أسماء المستخدمين وكلمات المرور. ويمثل ذلك خطرًا كبيرًا لبروتوكول يُستخدم كثيرًا للتعامل مع عمليات تسجيل الدخول، ولذلك يوصى بشدة باستخدام التشفير. في ما يأتي طريقتان من أكثر الطرق شيوعًا لتأمين LDAP:

• يستخدم LDAPS المنفذ 636. في هذه الحالة، يتم تشفير الاتصال بمجرد إنشائه، ولذلك تكون حركة المرور محمية طوال الجلسة. يشير الحرف S إلى كلمة "Secure"، كما هو الحال في HTTPS.
• يعمل StartTLS عبر المنفذ القياسي 389. وبدلاً من استخدام منفذ آمن منفصل، يبدأ الاتصال كاتصال LDAP عادي، ثم تتم ترقيته إلى اتصال مشفر باستخدام TLS. والنتيجة النهائية مشابهة لـ LDAPS، لكن يتم التفاوض على الاتصال عبر المنفذ نفسه بدلاً من استخدام منفذ مخصص.

والخلاصة الأساسية هي أن LDAP العادي عبر المنفذ 389 لا يوفر أي حماية بحد ذاته. ينبغي النظر إلى التشفير على أنه أمر أساسي، سواء من خلال LDAPS عبر المنفذ 636 أو StartTLS عبر المنفذ 389.

مزايا وعيوب LDAP

تفسر نقاط قوة LDAP سبب كونه ركيزة أساسية لهوية المؤسسات منذ فترة طويلة، بينما تشير حدوده إلى الحالات التي يحتاج فيها إلى أدوات مساندة أو لا يكون فيها الخيار الأنسب.