Des noms distinctifs à l’authentification des utilisateurs

Il est courant que les organisations s’appuient sur LDAP (Lightweight Directory Access Protocol) pour effectuer la gestion, le stockage et l’authentification des utilisateurs critiques.

Cependant, cela peut dérouter les utilisateurs, les amenant à le mélanger avec Active Directory.

Dans cet article, nous examinerons LDAP, son objectif et son fonctionnement. Ensuite, nous passerons en revue ses fonctionnalités clés, sa structure de répertoires et ses capacités d’organisation des données. Enfin, nous couvrirons l’importance de LDAP dans la gestion du service d’annuaire et de l’authentification des utilisateurs.

Qu’est-ce que LDAP ?

LDAP signifie Lightweight Directory Access Protocol. Il s’agit d’un protocole ouvert qui régit l’authentification sécurisée des utilisateurs pour les annuaires sur site. De plus, il s’agit d’un protocole d’application indépendant du fournisseur, ce qui le rend polyvalent et omniprésent, en particulier dans les services d’informations d’annuaire distribués sur Internet.

LDAP est efficace pour permettre aux applications d’interroger les informations des utilisateurs. Cela signifie qu’il peut fonctionner de différentes manières dans les services d’infrastructure informatique, y compris les services de messagerie, l’autorisation, la gestion des licences et la gestion des utilisateurs.

Cependant, il ne faut pas le confondre avec les services d’annuaire actif – un ensemble de services/bases de données que les entreprises utilisent pour organiser, accéder et sécuriser les actifs informatiques. Fondamentalement, les services d’annuaire permettent aux organisations de stocker des données descriptives, statiques et précieuses.

Techniquement, LDAP est attribué au processus complet de représentation des données au sein d’un service d’annuaire. Il garantit que les utilisateurs peuvent obtenir des données d’une manière prédéfinie. Cela signifie que LDAP permet aux organisations de créer des entrées de données dans les services d’annuaire via ses outils.

Ainsi, au sein d’un Active Directory, LDAP garantit également la composition des entrées en fonction des différents éléments primitifs décrits.

En bref, LDAP est un :

• Protocole de communication
• Il s’agit d’un protocole d’application ouvert indépendant du fournisseur
• Le protocole logiciel stocke et organise les données pour qu’elles soient facilement consultables.
• Fonctionne avec les répertoires sur site
• Fonctionne avec Active Directory qui contient des données statiques, descriptives et précieuses
• Ce n’est pas un nouveau protocole et a été publié en 2003

Quel est son but?

L’objectif de LDAP s’articule autour de deux choses :

• Il stocke les données dans un répertoire LDAP/Active
• Authentifier l’accès de l’utilisateur à ce dit répertoire
• Permettre aux applications d’utiliser le langage de communication approprié pour envoyer et recevoir des données à partir des services d’annuaire.

En d’autres termes, il agit comme un protocole de communication qui est non seulement capable d’authentification et d’autorisation, mais qui organise également les données de manière consultable. À l’aide de LDAP, les organisations peuvent stocker des informations critiques sur les utilisateurs et les actifs informatiques, y compris les informations d’identification des utilisateurs. De plus, il peut garantir un accès sécurisé en permettant aux administrateurs de définir activement des règles d’accès.

Comment fonctionne LDAP ?

Au cœur de LDAP, l’architecture client-serveur est en jeu.

Ainsi, lorsque l’authentification LDAP a lieu, elle suit un modèle client-serveur. Et pendant ce temps, les acteurs clés sont les suivants :

• Agent de système d’annuaire (DSA): Un serveur exécutant LDAP sur un réseau spécifique.
• Le nom distinctif (DN) contient le chemin de navigation dans l’arborescence d’informations de répertoire (DIT).
• Agent d’utilisateur d’annuaire (DUA): Le DUA est utilisé pour accéder aux DSA en tant que client.
• Nom distinctif relatif (RDN): Le RDN spécifie chaque composant dans le chemin du DN.
• Interface de programmation d’applications (API) : Nous avons des API qui communiquent entre les services et les produits.

Dans le processus d’authentification LDAP, lorsqu’un utilisateur démarre un programme client LDAP tel qu’une application de messagerie, l’administrateur peut configurer la façon dont le client LDAP interagit avec les services d’annuaire pour l’authentification. Par exemple, il peut utiliser l’une des deux méthodes d’authentification utilisateur disponibles :

Lors de la tentative de connexion, l’authentification DN est demandée. Une fois le processus démarré, LDAP affecte le client à l’agent de système d’annuaire (DSA), qui utilise le DN pour rechercher des enregistrements correspondants dans la base de données.

Le nom distinctif relatif (RDN) dans le DN est un élément essentiel de la recherche LDAP car il est utilisé à chaque étape du processus de recherche via l’arborescence d’informations d’annuaire (DIT).

Si la recherche réussit, l’UID et le mot de passe de l’utilisateur correspondants sont mis en correspondance pour valider l’utilisateur. Sinon, il renvoie des résultats invalides.

Enfin, le client se déconnecte du serveur LDAP. Une fois cela fait, l’utilisateur authentifié peut alors communiquer avec les services via les API. Cela signifie qu’il peut parcourir toutes les informations stockées – la seule limitation étant les autorisations accordées.

Si vous souhaitez en savoir plus sur le fonctionnement de LDAP, consultez son papier publié en 2003 par Greg Vaneder et Mark Wahl. Et, si vous voulez en savoir plus sur les opérations de recherche LDAP, consultez L’opération de recherche LDAP.

Fonctionnalités clés de LDAP

Les fonctionnalités clés de LDAP peuvent être résumées ci-dessous :

• Authentifiez les sessions utilisateur : Il peut être utilisé pour authentifier les sessions utilisateur auprès d’un service de base de données tel qu’Active Directory.
• Différents types d’opérations : Il peut également effectuer des opérations sur une base de données de serveur d’annuaire, y compris
  • séances contraignantes
  • suppression d’entrées LDAP
  • Modifier les entrées existantes
  • Rechercher et comparer les entrées.
  • Demandes d’abandon
  • Délier les opérations
• Poids léger: LDAP est léger, assurant une petite surcharge aux ressources réseau et système.
• Indépendant du fournisseur et du protocole : LDAP est également indépendant du fournisseur et du protocole. Cela signifie qu’il fonctionne avec n’importe quel fournisseur/solution/protocole. Par exemple, vous pouvez utiliser LDAP sur TCP/IP ou X.25. Cependant, la dernière version de LDAP, LDAPv3, utilise TCP/IP.
• Structure du répertoire : LDAP utilise une arborescence de répertoires pour stocker et accéder aux ressources dans une base de données de répertoires. La relation parent-enfant signifie une recherche et une récupération plus rapides.
• Standardisation: LDAP est standardisé par l’IETF (Internet Engineering Task Force). La standardisation garantit que LDAP fonctionne sur différents fournisseurs.
• Sécurité: LDAP est sécurisé. Il assure la sécurité en utilisant TLS sécurisé sur la couche TCP/IP. Il peut également utiliser Secure Socket (SSL) pour chiffrer, déchiffrer et transférer des informations à distance en toute intégrité et confidentialité.
• Réplication : LDAP prend également en charge la réplication sur plusieurs serveurs. Il assure la redondance des données et assure la disponibilité des données en cas de panne. Il utilise Syncrepl – un moteur de réplication Sync.

Structure de l’annuaire LDAP

L’annuaire LDAP a une structure propre et définie. Cela permet un accès facile aux données et ajoute à la capacité de recherche du contenu de l’annuaire LDAP.

Comme LDAP suit une structure arborescente, il est hiérarchique. Et c’est pourquoi il est principalement préféré comme Directory Information Tree (DIT).

Les différents niveaux de structure d’annuaire LDAP incluent :

• Répertoire racine
• Organisation

Comme vous pouvez le constater, il existe une arborescence dans l’annuaire LDAP. Le «racine” répertoire est une entrée de niveau supérieur qui inclut toutes les autres entrées du niveau répertoire. En dessous, vous obtenez Pays (pays) qui se ramifie ensuite en Organisation(s). Ensuite, il se ramifie vers les unités organisationnelles (UO) et, enfin, vers les individus et les groupes.

Pour comprendre la structure du répertoire LDAP, examinons un exemple ci-dessous.

 - Root (Top-level entry)
   |
   +-- Country: "dc=com" (e.g., dc=example,dc=com)
         |
         +-- Organization: "dc=example" (e.g., dc=example)
               |
               +-- Organizational Unit (OU): "ou=Users"
               |      |
               |      +-- User: "cn=Nitish Singh"
               |      |
               |      +-- User: "cn= Oliver Green"
               |
               +-- Organizational Unit (OU): "ou=Groups"
                      |
                      +-- Group: "cn=Admins"
                      |
                      +-- Group: "cn=Users"
		|
		+-- Group: “cn=Superusers”

L’entité racine est identifiée par CCQui veut dire Composant de domaine attribut. Donc si «dc=com”, l’entrée racine est identifiée comme le domaine “com”.

Sous racine, vous pouvez avoir plusieurs organisations ou domaines. Il est représenté par «dc=organisation.” sous le domaine «com».

De même, chaque organisation peut avoir un ou plusieurs unités organisationnelles (UO). L’administrateur peut les organiser logiquement en subdivisions. Par exemple, vous pouvez définir OU sur «utilisateurs », « groupes » ou « superutilisateurs ».

Enfin, sous chaque unité d’organisation, vous pouvez répertorier différentes entrées, notamment des groupes, des appareils, des utilisateurs, etc. Dans notre exemple, deux valeurs de Les utilisateurs OU incluent «Nitish Singh» et «Oliver Green». De même, sous OU Groups, nous avons « Administrateurs », « Utilisateurs » et « Superutilisateurs ».

La structure du répertoire LDA dépend fortement du nom distinctif (DN) car il est utilisé pour identifier chaque entrée. En effet, il contient un nom unique et est utilisé pour récupérer le nom distinctif relatif (RDN).

Éléments communs LDAP

Pour comprendre l’organisation des données LDAP, nous devons comprendre les éléments communs de LDAP, qui conduisent à la construction des entrées du système LDAP.

Les composants de données LDAP de base incluent :

• Les attributs:
• Entrées :
• Arbres d’informations sur les données

Les attributs

Les attributs dans LDAP sont des paires clé-valeur. Ceux-ci stockent les données dans le système LDAP. Par exemple, le courrier d’attribut doit être utilisé pour stocker poster dans le système LDAP.

courrier: nitish@geekflare.com

Entrées

Les entrées du système LDAP s’associent à l’attribution pour donner du sens. Vous pouvez considérer les entrées comme une collection d’attributs associés.

Par exemple, les données au format LDIF (LDAP Data Interchange Format) se présentent comme suit :

dn: sn=Hogwarts, ou=wizards, dc=WizardingWorld, dc=fiction

objectclass: wizard

sn: Hogwarts

cn: Harry Potter

Arbres d’informations sur les données

Les arbres d’information de données, ou DIT, représentent et accèdent aux données dans un système LDAP. Comme la plupart des données sont ramifiées, il est logique de les représenter sous forme d’arbres. Il est analogue à un système de fichiers avec une association parent-enfant.

Organisation des données LDAP

Maintenant, avec l’idée de base des entités, nous pouvons explorer l’organisation des données au sein du système LDAP.

Ici, LDAP utilise le DIT pour organiser et structurer les données. Cependant, comment y parvient-il ? Discutons-en ci-dessous.

Pour placer des entrées dans un DIT qui sont liées les unes aux autres de manière hiérarchique. Ainsi, lorsqu’une nouvelle entrée est créée, elle est ajoutée à la structure arborescente en tant qu’enfant d’une entrée existante.

Tout commence au sommet de l’arborescence hiérarchique du DIT. Comme il couvre toutes les entrées enfants, il est principalement étiqueté comme une organisation telle que «cc=com ou exemple. Ceci est fait en utilisant des composants de domaine pour assurer une gestion facile. De cette façon, l’administrateur peut définir l’emplacement à l’aide de l=nom_emplacement ou des segments organisationnels, tels que ou=technologie, marketing, etc.

Les entrées utilisent objectClass d’unité d’organisation (OU). C’est parce que les entrées peuvent utiliser l’étiquette d’attribut ou=. Ils sont simples et offrent un excellent moyen de catégoriser et de trouver des informations dans le DIT.

Vient ensuite un autre concept important appelé Nom distinctif relatif. C’est le nom relatif d’un élément en fonction de son niveau hiérarchique DIT. Ainsi, pour accéder à une entrée, vous devez entrer le Valeurs RDN de l’entité avec la valeur RDN du parent.

Cela crée une chaîne de valeurs RDN, qui va de bas en haut, créant un chemin vers cette entrée. Et ça chaîne de valeurs RDN est connu comme «Nom distinctif ou DN.”

En d’autres termes, vous devez mentionner le DN lors de la création de l’entrée afin que LDAP sache précisément où vous devez placer le nouvel actif ou les nouvelles informations. Donc, RDN agit comme une valeur relativealors que DN est plus un chemin absolu.

Importance de LDAP

Dans cette section, nous examinerons l’importance de LDAP sous deux angles :

• Gestion du service d’annuaire : Le protocole LDAP dispose des moyens appropriés pour stocker et accéder aux données de l’annuaire LDAP. Nous en avons déjà parlé dans le «Comment LDAP Works et les composants de données» et «Organisation» sections. LDAP est un moyen de gérer, de stocker, d’accéder et de sécuriser les données. Il assure également une recherche efficace des informations. De plus, il offre également évolutivité et réplication.
• Authentification d’utilisateur: Outre la gestion des services d’annuaire, LDAP excelle dans l’authentification et l’autorisation des utilisateurs. Une fois la connexion créée, l’utilisateur peut accéder aux actifs stockés en fonction des règles d’accès définies par l’administrateur.

LDAP contre Active Directory

Il est courant que les gens confondent LDAP et Active Directory. LDAP et Active Directory de Microsoft travaillent en étroite collaboration pour fournir aux organisations un moyen de stocker et d’accéder en toute sécurité aux données organisationnelles de tous les services en toute sécurité.

Ainsi, LDAP est un protocole, tandis qu’Active Directory est un produit de service d’annuaire qui stocke les données organisationnelles dans une structure arborescente.

LDAP agit comme un protocole de communication pour accéder aux serveurs d’annuaire tels qu’Active Directory.

Conclusion

LDAP est un protocole clé pour travailler avec les services Active Directory. Il s’agit d’un protocole léger qui ne crée aucune surcharge sur les services et les serveurs avec lesquels il fonctionne. De plus, sa nature open source, indépendante du fournisseur et standardisée signifie qu’il peut facilement être intégré dans les solutions existantes.

Vous pouvez également explorer l’authentification multifacteur (MFA).