O que é o Lightweight Directory Access Protocol (LDAP)?

• Glossário do IAM
• O que é o Lightweight Directory Access Protocol (LDAP)?

O Lightweight Directory Access Protocol (LDAP) é um protocolo aberto e independente de fornecedor que as aplicações usam para acessar e manter informações de diretório em uma rede. Diretório é um repositório centralizado de dados sobre os usuários, grupos e aparelhos de uma organização, e o LDAP é mais comumente usado para autenticar usuários nesse diretório. O LDAP funciona nos bastidores quando os usuários fazem login em uma conta de e-mail corporativa, VPN ou aplicação interno da empresa usando um único nome de usuário e senha. Em vez de cada aplicação manter a própria lista de usuários, o LDAP permite que várias aplicações aprovem credenciais em um diretório compartilhado e centralizado — sendo uma tecnologia fundamental para fazer login em sistemas corporativos.

O LDAP é uma alternativa mais simples e eficiente ao Directory Access Protocol (DAP), um protocolo de acesso mais antigo e com alto consumo de recursos do padrão de diretório X.500. O LDAP manteve a ideia central de um diretório estruturado, ao mesmo tempo em que eliminou a implementação complexa e a sobrecarga, tornando sua adoção muito mais fácil.

LDAP x Active Directory

Embora muitas vezes se pense que o LDAP e o Active Directory são alternativas concorrentes, são duas coisas totalmente diferentes. LDAP é um conjunto padrão de regras, ou uma linguagem compartilhada, para acessar e gerenciar informações de diretório. Ele próprio não armazena nenhum dado; em vez disso, é o protocolo que as aplicações usam para se comunicar com um diretório.

O Active Directory (AD) é o produto de serviço de diretório da Microsoft para armazenar e gerenciar informações sobre usuários, grupos e aparelhos em uma rede. O LDAP é um protocolo que o Active Directory usa para que aplicações leiam e gravem no diretório. Em termos mais simples, o LDAP é uma linguagem que o Active Directory pode falar. Sendo um padrão aberto e independente de fornecedor, o LDAP funciona em diversos produtos e serviços de diretório, incluindo OpenLDAP, JumpCloud e Oracle Internet Directory. As aplicações podem contar com o mesmo protocolo, independentemente do diretório que uma organização opte por executar; essa flexibilidade é uma das grandes razões pelas quais o LDAP é tão amplamente adotado.

Como funciona o LDAP?

O LDAP segue um modelo cliente-servidor, no qual o cliente é a aplicações que precisa de informações do diretório (uma tela de login ou um programa de e-mail) e o servidor é o próprio diretório. Uma interação típica com um diretório LDAP envolve o cliente enviando uma solicitação, o servidor LDAP processando-a no diretório e o servidor enviando uma resposta de volta. Para saber como um diretório é organizado, é bom entender o que pode ser armazenado dentro dele:

• Entrada: um registro no diretório. A entrada geralmente representa uma coisa, como uma pessoa, um grupo ou um aparelho.
• Atributos: os dados associados a uma entrada, incluindo nome, endereço de e-mail, número de telefone ou departamento. Cada atributo tem um tipo e um valor.
• Nome distinto (DN): o “endereço” exclusivo que identifica uma entrada no diretório; duas entradas não podem compartilhar o mesmo DN. Ele é escrito como um caminho, composto pelo nome da entrada mais as categorias sob as quais ela reside, informando o diretório exatamente onde encontrar uma entrada.

As entradas são organizadas em uma hierarquia chamada Directory Information Tree (DIT). Assim como um organograma corporativo, a DIT se ramifica a partir de uma raiz ampla para agrupamentos mais específicos, como departamentos, e, por fim, para entradas individuais, como usuários. Essa estrutura em árvore torna o DN legível como um caminho, com o DN de cada pessoa traçando a rota do topo da árvore até a respectiva entrada.

Casos de uso comuns do LDAP

Quase tudo para o que o LDAP é usado se resume a uma ideia principal: muitas aplicações podem compartilhar uma fonte da verdade central sobre usuários e recursos em vez de cada aplicação manter uma própria. Confira a seguir as formas mais comuns pelas quais as organizações usam o LDAP.

Autenticação e autorização

O principal caso de uso do LDAP abrange a autenticação e a autorização. A autenticação envolve confirmar quem é o usuário, o que acontece por meio da operação bind do LDAP: uma aplicação envia a identidade e a senha do usuário, que o diretório confirma ou rejeita. A autorização envolve decidir o que um usuário autenticado tem permissão para fazer. Os diretórios LDAP organizam os usuários em grupos, e as aplicações conferem a associação ao grupo para dar ou negar o acesso. Por exemplo, apenas membros do grupo “RH” podem fazer edições no sistema de folha de pagamento.

Gerenciamento centralizado de usuários

Tradicionalmente, cada aplicação mantinha a própria lista de usuários e senhas. Integrar um novo funcionário envolvia criar contas em vários locais, uma por vez, e o desligamento envolvia rastrear e desativar cada uma dessas contas, criando um risco real à segurança se apenas uma fosse esquecida. Com o LDAP, há um único diretório no qual todos as aplicações se autenticam. O resultado é uma integração mais rápida, um desligamento mais tranquilo, políticas de senhas consistentes e um local central para auditar quem tem acesso a quê.

Fundamentos do Single Sign-On (SSO)

Como todas as aplicações podem apontar para o mesmo diretório, o LDAP fornece a base para o Single Sign-On (SSO), no qual um conjunto de credenciais funciona em diferentes sistemas. Para esclarecer, o LDAP é uma base para o SSO, e não o SSO em si. Uma experiência completa de SSO, em que o usuário faz login uma única vez e transita entre aplicações sem reinserir a senha, normalmente incorpora mais protocolos, mas a fonte de identidade compartilhada costuma ser um diretório LDAP.

Consultas de contatos

Como o diretório armazena pessoas juntamente com seus atributos, as aplicações podem consultá-lo como um catálogo de endereços compartilhado em toda a empresa. Por exemplo, um cliente de e-mail pode preencher automaticamente o endereço de um colega quando alguém começar a digitar o nome dele; ou uma busca no “diretório de funcionários” em uma ferramenta interna pode retornar as informações de um colega. Aqui, o LDAP funciona exatamente como previsto: os diretórios são otimizados para leitura, criados para processar um alto volume de consultas rápidas, sendo ideais para esse tipo de busca.

Armazenando informações de configuração

Além de pessoas, o diretório pode armazenar entradas para recursos de máquina, incluindo impressoras de rede, servidores e aparelhos compartilhados. Isso permite que aplicações e usuários descubram e se conectem a esses recursos a partir de um local central, em vez de configurar cada um manualmente. Uma estação de trabalho pode localizar uma impressora próxima por meio do diretório ou um sistema pode obter as configurações de aparelho na inicialização. Embora seja um caso de uso menor, isso mostra a flexibilidade do LDAP.

Portas LDAP e segurança

O LDAP se comunica pela porta 389, que é a porta padrão para o tráfego LDAP. No entanto, por si só, o LDAP não é criptografado; portanto, os dados trafegam em texto simples. Qualquer pessoa capaz de interceptar esse tráfego pode lê-lo, incluindo informações confidenciais, como nomes de usuário e senhas. Esse é um grande risco para um protocolo tão frequentemente usado para lidar com logins, motivo pelo qual a criptografia é altamente recomendada. Estas são duas das formas mais comuns de proteger o LDAP:

• O LDAPS usa a porta 636. Aqui, a conexão é criptografada assim que estabelecida; portanto, o tráfego fica protegido durante toda a sessão. O S significa seguro, assim como no HTTPS.
• O StartTLS é executado na porta padrão 389. Em vez de usar uma porta segura separada, ele começa como uma conexão LDAP comum e depois a atualiza para uma conexão criptografada usando TLS. O resultado final é semelhante ao LDAPS, mas é negociado na mesma porta em vez de uma dedicada.

A principal conclusão é que o LDAP simples na porta 389 não oferece nenhuma proteção por si só. A criptografia deve ser considerada essencial, seja via LDAPS na porta 636 ou StartTLS na porta 389.

Prós e contras do LDAP

Os pontos fortes do LDAP explicam por que ele tem sido um pilar de longa data da identidade corporativa, enquanto suas limitações apontam para situações em que ele precisa de ferramentas de suporte ou não é a melhor opção.