LDAP: Verzeichnisdienste abfragen

Kurz: Ein Protokoll, um Einträge wie Benutzer, Gruppen und Geräte in einem zentralen Verzeichnis abzufragen und zu verwalten.

Genauer: LDAP (Lightweight Directory Access Protocol) ist ein standardisierter Weg, auf Verzeichnisdienste zuzugreifen. Ein Verzeichnis ist eine auf Lesen optimierte, hierarchisch aufgebaute Datenbank, in der etwa Mitarbeiter mit Name, E-Mail und Gruppenzugehörigkeit stehen. Microsoft Active Directory und OpenLDAP sind die bekanntesten Beispiele.

Im Detail

Aufbau: Baum, Einträge, DN

Die Daten bilden einen Baum (DIT, Directory Information Tree). Jeder Eintrag hat einen eindeutigen Distinguished Name (DN), der den Weg von der Wurzel beschreibt, zum Beispiel:

cn=Anna Beispiel,ou=Vertrieb,dc=firma,dc=de

dc steht für Domain Component, ou für Organisationseinheit, cn für Common Name. Einträge besitzen Attribute wie mail, uid oder memberOf, deren erlaubte Arten ein Schema festlegt.

Typische Operationen

• Bind: Anmelden am Server (anonym, mit Benutzer und Passwort oder per Zertifikat).
• Search: Einträge suchen, mit Basis-DN, Umfang und Filter, etwa (&(objectClass=person)(uid=anna)).
• Add / Modify / Delete: Einträge anlegen, ändern oder löschen. Anwendungen nutzen LDAP häufig zur Anmeldung: Sie suchen den Benutzer, versuchen dann einen Bind mit dessen Passwort und werten das Ergebnis aus.

Sicherheit

Der Standardport 389 überträgt im Klartext. Verwende LDAPS (Port 636, TLS von Beginn an) oder StartTLS auf Port 389. Filter aus Benutzereingaben müssen maskiert werden, sonst droht LDAP-Injection, ähnlich der SQL-Injection. Dienstkonten für Suchen sollten nur Leserechte besitzen (Prinzip der geringsten Rechte).

Abgrenzung

LDAP ist keine Datenbank für Anwendungsdaten mit vielen Schreibzugriffen, sondern für selten geänderte, oft gelesene Stammdaten. Moderne Web-Anmeldung läuft häufiger über SAML oder OpenID Connect, die im Hintergrund trotzdem oft ein LDAP-Verzeichnis als Quelle der Konten nutzen.

Siehe auch: Authentifizierung, Single Sign-on, TLS, Prinzip der geringsten Rechte