Definition Was ist LDAP (Lightweight Directory Access Protocol)?

Anbieter zum Thema

ALE Deutschland GmbH

Aagon GmbH

LDAP ist ein Netzwerkprotokoll für Abfragen und Änderungen in einem verteilten Verzeichnisdienst. Mithilfe des Protokolls lassen sich Informationen über Benutzer, Geräte und andere Ressourcen finden und verwalten. Für den Microsoft-Verzeichnisdienst Active Directory ist LDAP eines der Kernprotokolle.

LDAP ist das Akronym für Lightweight Directory Access Protocol. Es handelt sich um ein ursprünglich an der Universität von Michigan (USA) entwickeltes Netzwerkprotokoll. Die Spezifikation des Protokolls wurde im Jahr 1993 erstmals im RFC 1487 veröffentlicht. Die aktuelle dritte LDAP-Version ist zu einem Großteil in den RFCs 4510 bis 4532 spezifiziert.

Der Begriff "Lightweight " leitet sich aus der Tatsache ab, dass LDAP eine vereinfachte Variante des nach dem X.500-Standard spezifizierten Directory Access Protocols (DAP) ist. LDAP wurde entwickelt, um Verwaltungsaufgaben, Abfragen und Änderungen in einem verteilten Verzeichnisdienst durchführen zu können. Im TCP/IP-Stack ist das nach dem Client-Server-Modell arbeitende Protokoll auf der Anwendungsebene angesiedelt. Auf der Transportebene verwendet LDAP den Port 389. Die verschlüsselte Variante LDAPS nutzt SSL/TLS und den Port 636. Mit LDAP lässt sich ein über mehrere Server verteiltes, hierarchisch strukturiertes Verzeichnis schnell und einfach durchsuchen.

Eine sehr bekannte Implementierung von LDAP ist im Microsoft-Verzeichnisdienst Active Directory zu finden. Dort wird es zum Schreiben und Lesen von Daten des Active Directories verwendet. Grundsätzlich ist LDAP aber ein offenes, plattformunabhängiges Protokoll. Es kann auf unterschiedlichen Betriebssystemen und Plattformen eingesetzt werden und ist flexibel für verschiedene Verzeichnisdienste nutzbar. Aufgrund dieser Plattformoffenheit und Flexibilität hat sich das Lightweight Directory Access Protocol zu einer Art De-facto-Standard für den Zugriff und die Verwaltung von Adress- und Benutzerverzeichnissen entwickelt.

Prinzipielle Funktionsweise des Lightweight Directory Access Protocol

LDAP arbeitet nach dem Client-Server-Modell. LDAP-Clients greifen über das Protokoll auf einen LDAP-Server und das entsprechende Verzeichnis zu. Hierfür muss der Datenaufbau den LDAP-Spezifikationen entsprechen. Client und Server müssen die eingesetzte LDAP-Protokollversion unterstützen.

Das Lightweight Directory Access Protocol bietet alle Funktionen, um sich am Server anzumelden (zu authentifizieren), nach Daten zu suchen, diese abzufragen und Daten zu verändern. Ein LDAP-Verzeichnis kann auf viele verschiedene Server, zum Beispiel in einer Master-Slave-Struktur, verteilt sein. Die Server können jeweils Replika des gesamten Verzeichnisses beheimaten, die in regelmäßigen Abständen oder auf Anforderung synchronisiert werden.

Die LDAP-Verzeichnisstruktur und das Datenmodell

LDAP-Verzeichnisse sind in einer hierarchischen Baumstruktur organisiert. Sie wird auch als Directory Information Tree (DIT) bezeichnet. Die Informationen und Attribute zu den verschiedenen Objekten wie Benutzer, Geräte, Anwendungen oder Anmeldedaten sind in dieser Struktur abgelegt. Grundsätzlich ist LDAP objektorientiert und folgt weitgehend dem Ansatz der objektorientierten Programmierung mit Klassen, Vererbung, Polymorphie und den Objekten selbst.

Die Verzeichniseinträge sind die LDAP-Objekte. Objekte sind mindestens einer, meist aber mehreren Klassen zugehörig. Jeder eigenständige Verzeichnisdiensteintrag besteht aus einer Liste von Attributen und ist über den "Distinguished Name" eindeutig identifizierbar. Der Distinguished Name setzt sich aus mehreren Relative Distinguished Names (RDNs) zusammen, die den Pfad im Verzeichnisbaum widerspiegeln. Die Attribut-Wert-Paare sind mit Kommas getrennt. Die Reihenfolge der Komponentenattribut-Wert-Paare ist wichtig. Ein Distinguished Name beginnt in LDAP mit dem spezifischsten Attribut (zum Beispiel in der Form eines Namens). Es folgen die weiteren Attribute im Verzeichnisbaum, die beispielsweise mit dem Länderattribut enden.

Ein Beispiel für einen Distinguished Name (DN) ist:

Die Baumstruktur des Verzeichnisses ist jeweils vorgegeben und sieht beispielsweise folgendermaßen aus:

• Root-Directory

• Land

• Organisation (zum Beispiel Unternehmen)

• Organisationseinheit (zum Beispiel Abteilungen oder Bereiche)

• Entität

Ausgehend vom Root-Directory verzweigt sich das Verzeichnis in die jeweiligen Unterebenen. Entitäten können Benutzer, Dateien oder Geräte wie Drucker, Computer, Server oder Scanner und anderes sein. Die Attribute eines Objekts haben einen bestimmten Typ, der die Art der Information definiert, und Werte, die diese Informationen beinhalten (zum Beispiel "cn" und "Max Mustermann").

Beispiele für LDAP-Attribute sind cn (Common Name, sn (Surname), o (Organization Name), ou (Organizational Unit), l (Locality Name), st (State or Province Name), c (Country Name), street, mail, telephoneNumber, objectClass, userPassword, member und andere.

Die in einer Objektklasse definierten Attribute sind entweder obligatorisch oder optional.

Typische Anwendungen des Lightweight Directory Access Protocol

Das Lightweight Directory Access Protocol kommt für Anwendungen zum Einsatz, in denen große Mengen an Daten wie Benutzer- und Systeminformationen verwaltet, organisiert und strukturiert bereitgestellt, abgefragt und verändert werden müssen. Typische Anwendungen sind neben der Benutzer- und Systemverwaltung beispielsweise die Verwaltung von Zonendaten im Domain Name System, die Verwaltung von Authentifizierungsinformationen, Network Information Services (NIS), die Organisation von Alias-Namen in E-Mail-Systemen, die Verwaltung von Mountpoints in Dateisystemen, die Organisation von DHCP-Servern, die Zuordnung von Protokollen und RFCs, die Verwaltung von digitalen Kontakt- und Adressbüchern, die Nutzerdatenverwaltung für Datenbanksysteme, die Dokumentenverwaltung und vieles mehr. LDAP und LDAP-Server kommen beispielsweise auch im Mobilfunkbereich zum Einsatz. Sie werden in den Mobilfunknetzen für die Informationsbereitstellung bei Authentifizierungsanfragen der Mobilfunkteilnehmer genutzt.

Die Nutzer selbst kommen mit dem Lightweight Directory Access Protocol in der Regel nicht in Berührung. Das Protokoll wird im Hintergrund von den Anwendungen zur Verwaltung und Abfrage der jeweils benötigten Informationen verwendet.

Microsoft Active Directory und das Lightweight Directory Access Protocol

Eine sehr bekannte und weit verbreitete Implementierung des Lightweight Directory Access Protocol ist im Microsoft-Verzeichnisdienst Active Directory zu finden. Neben dem Kerberos-Protokoll für die zentrale Authentifizierung der Benutzer, dem SMB-Protokoll (Server Message Block) für den Zugriff auf Dateien eines Servers im Netzwerk und dem Domain Name System (DNS) für die Namensauflösung und Adressierung der Objekte in den Domänenstrukturen ist das Lightweight Directory Access Protocol eines der Kernprotokolle und Hauptkomponenten des Active Directory.

Während das Active Directory den proprietären Verzeichnisdienst darstellt und die Informationen über Benutzer, Computer und ihre Gruppenzugehörigkeit oder über andere Ressourcen bereithält, dient LDAP als Protokoll, um Objekte im Active Directory abzufragen, sie zu verändern oder zu erstellen. LDAP ist quasi die Softwaresprache, um mit dem Verzeichnisdienst in definierter Form zu kommunizieren und die benötigten Informationen aus dem Active Directory zu extrahieren. So können die verschiedenen Anwendungen im Netzwerk die Objektdaten des Active Directory wie Benutzernamen und Kennwörter gemeinsam verwenden. LDAP-fähige Anwendungen führen alle notwendigen Abfragen selbstständig aus, ohne dass der Endbenutzer aktiv werden muss.

Definition

Was ist Active Directory?