Wat is Lightweight Directory Access Protocol (LDAP)?

• IAM-woordenlijst
• Wat is Lightweight Directory Access Protocol (LDAP)?

Lightweight Directory Access Protocol (LDAP) is een open, leveranciersonafhankelijk protocol dat toepassingen gebruiken om directory-informatie via een netwerk te benaderen en te beheren. Een directory is een gecentraliseerde opslagplaats voor gegevens over de gebruikers, groepen en apparaten van een organisatie. LDAP wordt meestal gebruikt om gebruikers te verifiëren bij die directory. LDAP werkt achter de schermen wanneer gebruikers zich aanmelden bij een zakelijk e-mailaccount, VPN of interne bedrijfstoepassing met een gebruikersnaam en wachtwoord. In plaats van dat elke toepassing haar eigen gebruikerslijst bijhoudt, maakt LDAP het mogelijk dat meerdere toepassingen aanmeldingsgegevens kunnen verifiëren aan de hand van een gedeelde, gecentraliseerde directory – waardoor het een fundamentele technologie is voor het aanmelden op bedrijfssystemen.

LDAP is ontworpen als een eenvoudiger en efficiënter alternatief voor het Directory Access Protocol (DAP), een ouder, bronintensief toegangsprotocol uit de X.500-directorystandaard. LDAP behield het kernconcept van een gestructureerde directory en nam complexe implementatie en overhead weg, waardoor het veel eenvoudiger te adopteren was.

LDAP versus Active Directory

Hoewel vaak wordt gedacht dat LDAP en Active Directory concurrerende alternatieven zijn, zijn het twee totaal verschillende dingen. LDAP is een standaardset van regels, of een gedeelde taal, voor het benaderen en beheren van directory-informatie. Het slaat zelf geen gegevens op; het is het protocol dat toepassingen gebruiken om met een directory te communiceren.

Active Directory (AD) is het directoryservice-product van Microsoft voor het opslaan en beheren van informatie over gebruikers, groepen en apparaten op een netwerk. LDAP is een protocol dat Active Directory gebruikt om toepassingen vanuit de directory te laten lezen en ernaar te laten schrijven. Eenvoudiger gezegd: LDAP is een taal die Active Directory beheerst. Aangezien LDAP een open, leveranciersonafhankelijke standaard is, wordt het ondersteund door een groot aantal directoryproducten en -services, waaronder OpenLDAP, JumpCloud en Oracle Internet Directory. Toepassingen kunnen hetzelfde protocol gebruiken, ongeacht de directory die een organisatie kiest om te gebruiken. Die flexibiliteit is een belangrijke reden waarom LDAP zo wijdverbreid is.

Hoe werkt LDAP?

LDAP volgt een client-servermodel, waarbij de client de toepassing is die directory-informatie nodig heeft (een aanmeldingsscherm of een e-mailprogramma) en de server de directory zelf is. Een typische interactie met een LDAP-directory houdt in dat de client een verzoek verzendt, de LDAP-server dit verwerkt aan de hand van de directory en de server een respons terugstuurt. Om te begrijpen hoe een directory is georganiseerd, helpt het om te begrijpen wat erin kan worden opgeslagen:

• Vermelding: Eén afzonderlijk record in de directory. Een vermelding vertegenwoordigt doorgaans één ding, zoals een persoon, een groep of een apparaat.
• Eigenschappen: De gegevens die aan een item zijn gekoppeld, waaronder een naam, e-mailadres, telefoonnummer of afdeling. Elke eigenschap heeft een type en een waarde.
• Distinguished Name (DN): Het unieke "adres" dat een vermelding binnen de directory identificeert, wat betekent dat geen twee vermeldingen dezelfde DN kunnen delen. Het wordt geschreven als een pad, opgebouwd uit de naam van de vermelding plus de categorieën waaronder deze valt, en vertelt de directory precies waar een vermelding te vinden is.

Vermeldingen zijn georganiseerd in een hiërarchie die de Directory Information Tree (DIT) wordt genoemd. De DIT is, net als een organigram van een bedrijf, opgebouwd vanuit een brede basis die zich vertakt in smallere groeperingen, zoals afdelingen, en uiteindelijk uitmondt in afzonderlijke items, zoals gebruikers. Deze boomstructuur maakt een DN leesbaar als een pad, waarbij de DN van elke persoon de route volgt vanaf de top van de boom naar de bijbehorende vermelding.

Veelvoorkomende toepassingen van LDAP

Bijna alles waarvoor LDAP wordt gebruikt, is terug te voeren op één hoofdgedachte: veel toepassen kunnen een centrale bron van waarheid over gebruikers en bronnen delen, in plaats van dat elke toepassing haar eigen bron onderhoudt. Hieronder staan de meest voorkomende manieren waarop organisaties LDAP gebruiken.

Authenticatie en autorisatie

De belangrijkste gebruikssituatie van LDAP omvat zowel authenticatie als autorisatie. Authenticatie omvat het verifiëren van wie een gebruiker is, wat gebeurt via de LDAP-bindbewerking: dit houdt in dat een toepassing een gebruikersidentiteit en wachtwoord indient, die door de directory worden bevestigd of geweigerd. Autorisatie omvat het bepalen wat een geauthenticeerde gebruiker mag doen. LDAP-directory's delen gebruikers in groepen in, en applicaties controleren het groepslidmaatschap om toegang te verlenen of te weigeren. Zo kunnen alleen leden van de groep "HR" bewerkingen uitvoeren binnen het salarissysteem.

Gecentraliseerd gebruikersbeheer

Vroeger hield elke toepassing een eigen lijst met gebruikers en wachtwoorden bij. Het onboarden van een nieuwe werknemer betekende voorheen dat er op veel plekken één voor één accounts moesten worden aangemaakt, terwijl het offboarden inhield dat elk van deze accounts moest worden opgespoord en uitgeschakeld. Dit vormde een reëel beveiligingsrisico als er ook maar één account werd gemist. Met LDAP is er één directory waartegen elke toepassing zich authenticeert. Dit leidt tot een snellere onboarding, een soepelere offboarding, consistent wachtwoordbeleid en een centrale locatie om te bekijken wie toegang heeft tot wat.

Grondbeginselen van Single Sign-On (SSO)

Aangezien elke toepassing naar dezelfde directory kan verwijzen, vormt LDAP de basis voor Single Sign-On (SSO), waarbij één set aanmeldingsgegevens werkt op verschillende systemen. Ter verduidelijking: LDAP is een basis voor SSO, en is niet SSO zelf. Een volledige SSO-ervaring, waarbij een gebruiker zich één keer aanmeldt en tussen apps navigeert zonder opnieuw een wachtwoord in te voeren, omvat doorgaans aanvullende protocollen. De onderliggende gedeelde identiteitsbron is echter meestal een LDAP-directory.

Zoekopdrachten naar contactpersonen

Omdat de directory personen met hun kenmerken bevat, kunnen toepassingen deze raadplegen als een gedeeld, bedrijfsbreed adresboek. Zo kan een e-mailprogramma bijvoorbeeld het adres van een collega automatisch aanvullen zodra men begint met het typen van diens naam, of kan een zoekopdracht in de "personeelslijst" binnen een interne tool de gegevens van een collega weergeven. In dit geval werkt LDAP precies zoals bedoeld: de directories zijn geoptimaliseerd voor leesbewerkingen en ontworpen om een groot aantal snelle zoekopdrachten te verwerken, waardoor ze uitermate geschikt zijn voor dit soort zoekopdrachten.

Configuratie-informatie opslaan

Naast personen kan een directory vermeldingen voor machinebronnen opslaan, waaronder netwerkprinters, servers en gedeelde apparaten. Zo kunnen toepassingen en gebruikers deze bronnen vanaf één centrale plek ontdekken en ermee verbinden, in plaats van ze allemaal handmatig te configureren. Een werkstation kan via de directory een printer in de buurt vinden of een systeem kan bij het opstarten de apparaatinstellingen ophalen. Hoewel dit minder vaak voorkomt in de praktijk, toont het de flexibiliteit van LDAP aan.

LDAP-poorten en beveiliging

Standaard communiceert LDAP via poort 389, de standaardpoort voor LDAP-verkeer. LDAP is op zichzelf echter niet versleuteld, waardoor gegevens als platte tekst worden verzonden. Iedereen die dat verkeer kan onderscheppen, kan het lezen, inclusief gevoelige informatie zoals gebruikersnamen en wachtwoorden. Dat vormt een groot risico voor een protocol dat zo vaak wordt gebruikt voor aanmeldingen. Daarom wordt versleuteling sterk aanbevolen. Hier zijn twee van de meest voorkomende manieren om LDAP te beveiligen:

• LDAPS gebruikt poort 636. Hier wordt de verbinding versleuteld zodra deze tot stand is gebracht, zodat het verkeer gedurende de hele sessie wordt beschermd. De S staat voor "secure", net als in HTTPS.
• StartTLS loopt via de standaardpoort 389. Het maakt geen gebruik van een afzonderlijke beveiligde poort, maar begint als een gewone LDAP-verbinding en zet deze vervolgens met TLS om in een versleutelde verbinding. Het eindresultaat is vergelijkbaar met LDAPS, maar dit wordt onderhandeld op dezelfde poort in plaats van op een speciale poort.

De belangrijkste bevinding is dat plain LDAP op poort 389 op zichzelf geen bescherming biedt. Versleuteling moet als essentieel worden beschouwd, hetzij via LDAPS op poort 636 of StartTLS op poort 389.

De voor- en nadelen van LDAP

De sterke punten van LDAP maken duidelijk waarom het al jarenlang een steunpilaar vormt binnen bedrijfsidentiteitsbeheer, terwijl de beperkingen ervan wijzen op situaties waarin aanvullende tools nodig zijn of waarin het niet de meest geschikte oplossing is.