Was ist LDAP: De­fi­ni­ti­on und Erklärung

LDAP wurde als An­wen­dungs- und Zu­griffs­pro­to­koll für Ver­zeich­nis­dienst­an­bie­ter ent­wi­ckelt. Mit dem LDAP-Protokoll lassen sich in ver­teil­ten Ver­zeich­nis­diens­ten Daten, In­for­ma­tio­nen und Elemente in großem Umfang suchen, ändern oder au­then­ti­fi­zie­ren und die Kom­mu­ni­ka­ti­on mit Ver­zeich­nis­da­ten­ban­ken verwalten.

LDAP, aus­ge­schrie­ben „Light­weight Directory Access Protocol“, gehört zur Gruppe der Netz­werk­pro­to­kol­le und kommt als stan­dar­di­sier­tes Zu­griffs­pro­to­koll für Abfragen und Än­de­run­gen gemäß Client-Server-Modell in ver­teil­ten, zentralen Ver­zeich­nis­diens­ten zum Einsatz. Oft wird in diesem Zu­sam­men­hang auch vom LDAP-Server ge­spro­chen, wenn Ver­zeich­nis-Server über das LDAP-Protokoll kom­mu­ni­zie­ren. Das „Light­weight“ rührt daher, dass es als leicht­ge­wich­ti­ge Variante des nach X.500 spe­zi­fi­zier­ten DAP-Zu­griffs­pro­to­kolls (Directory Access Protocol) gilt. Da DAP zu komplex für effektive Im­ple­men­tie­rung in großen Un­ter­neh­men mit um­fas­sen­den Be­nut­zer­da­ten ist, kommt in der Praxis oft LDAP zum Einsatz.

LDAP setzt auf einem TCP/IP-Pro­to­koll­sta­pel auf und lässt sich flexibel für jedes Ver­zeich­nis­sys­tem nutzen. Für den Transport von Daten kann es TCP- und UDP-Ports verwenden. Besonders ver­brei­tet ist es in Bereichen und In­dus­trien, die große Mengen an Daten und In­for­ma­tio­nen ver­ar­bei­ten und verwalten müssen, z. B. Te­le­kom­mu­ni­ka­ti­on, Luftfahrt, IT, Hardware- und Software-Ent­wick­lung. Als Standard-Ports für Da­ten­trans­fers dienen Port 389 für un­ge­si­cher­te Da­ten­über­tra­gun­gen und Port 636 für TLS-ver­schlüs­sel­te Da­ten­trans­fers.

Wichtige und häufige Aufgaben und Ver­wen­dungs­zwe­cke von LDAP sind:

• Zentrale Spei­che­rung/Au­then­ti­fi­zie­rung/Au­to­ri­sie­rung von Nut­zer­da­ten und Kenn­wör­tern
• Einfügen von Einträgen und Vorgängen in die Ver­zeich­nis-Datenbank
• Au­then­ti­fi­zie­ren oder binden von Sitzungen
• Ändern, Suchen, Ver­glei­chen, Erweitern oder Löschen von Ver­zeich­nis­ein­trä­gen
• Schemata durch­su­chen
• Aufgeben von Anfragen
• Entbinden von Vorgängen

LDAP-Kon­fi­gu­ra­tio­nen nutzen für Ver­zeich­nis­se und Da­ten­auf­bau eine genormte, hier­ar­chi­sche Baum­struk­tur (DIT), die sich auf viele Server verteilen kann. Die Normung erfolgt über das jeweilige Schema aus Ob­jekt­klas­sen und ihren At­tri­bu­ten. Die Baum­hier­ar­chie wiederum gliedert bzw. verzweigt sich wie folgt in ver­schie­de­ne re­prä­sen­ta­ti­ve po­li­ti­sche, geo­gra­fi­sche oder or­ga­ni­sa­to­ri­sche Ebenen:

• Stamm­ver­zeich­nis (Wurzel/Root)
• Länder
• Or­ga­ni­sa­tio­nen
• Or­ga­ni­sa­ti­ons­ein­hei­ten
• Personen
• Ein­zel­per­so­nen (In­di­vi­du­en, Res­sour­cen)

Das LDAP-Ver­zeich­nis kann auf LDAP-Servern als nach­ge­bil­de­te Kom­plett­ver­si­on vorliegen, die Än­de­run­gen am Original syn­chro­ni­siert. Abfragen im Ver­zeich­nis laufen über LDAP-Server, auch Directory System Agent (DSA) genannt, die Anfragen an weitere DSA-Server verteilen können, Nutzern jedoch eine schnelle, effizient abs­tra­hier­te Antwort ga­ran­tie­ren.

LDAP nutzt einen ob­jekt­ori­en­tier­ten Pro­gram­mier­an­satz, wozu Objekte, Klassen, Vererbung und damit ein­her­ge­hen­de Po­ly­mor­phie zählen. Ein ei­gen­stän­di­ger LDAP-Ver­zeich­nis­ein­trag (LDAP-Objekt) setzt sich aus At­tri­bu­ten und der ob­li­ga­to­ri­schen Ob­jekt­be­zeich­nung „Di­stin­gu­is­hed Name“ zusammen. Der Aufbau des Di­stin­gu­is­hed Name ähnelt Da­tei­na­men­kon­ven­tio­nen und ver­hin­dert iden­ti­sche Objekte auf einer Ebene. Attribute, aus denen sich ein Objekt zu­sam­men­setzt, haben jeweils einen spe­zi­fi­schen Typ, der durch Kürzel wie cn (common name), st (state) oder sn (surname) ge­kenn­zeich­net wird. Zudem können Attribute je nach Typ ein- oder mehr­wer­tig sein. Während es Con­tai­ner­ob­jek­te gibt, die Objekte enthalten, ver­zwei­gen sich die Enden einer Baum­hier­ar­chie in einzelne Blatt­ob­jek­te (Objekte).

Das Protokoll nutzt spe­zi­fi­sche Zu­griffs­ab­läu­fe, die dem LDAP-Server über die bind-Direktive und einen Di­stin­gu­is­hed Name (DN) mitteilen, wer auf das Ver­zeich­nis Zugriff nimmt. Per BaseDN lässt sich de­fi­nie­ren, welche Ver­zeich­nis­ebe­nen für die Suche in Frage kommen, z. B. über Spe­zi­fi­ka­tio­nen wie base (dieses Objekt), sub (dieses und alle Objekte darunter) oder one (die Ebene unter dem BaseDN). Such­ab­fra­gen werden von End­nut­zern in der Regel nicht manuell, sondern über LDAP-fähige Programme (z. B. Outlook) durch­ge­führt. Wer wiederum Zugriff nehmen darf, wird durch den je­wei­li­gen Ver­zeich­nis­dienst kon­trol­liert.

LDAP ist neben Kerberos, SMB und DNS eines der vier zentralen Stan­dard­pro­to­kol­le, die in Mi­cro­softs Active Directory für nahtlose Kom­mu­ni­ka­ti­on und Da­ten­trans­fers sorgen. Das Active Directory wurde für den Einsatz als Ver­zeich­nis­dienst in Exchange Servern mit LDAP-Un­ter­stüt­zung ent­wi­ckelt, um ein­heit­li­che Anfragen an Active-Directory-Ver­zeich­nis­se zu er­mög­li­chen und Dienste auf LDAP-Basis in die AD-Umgebung zu in­te­grie­ren.

Active Directory ist ein leis­tungs­star­ker, relativ gut ska­lier­ba­rer Ver­zeich­nis­dienst für große Un­ter­neh­men mit mehreren Tausend Mit­ar­bei­tern und kon­zen­triert sich auf Windows-Struk­tu­ren. Das LDAP Protocol wiederum bietet aufgrund der Linux/Unix-Umgebung und Open-Source-Kom­pa­ti­bi­li­tät mehr Fle­xi­bi­li­tät und Er­wei­ter­bar­keit für große Im­ple­men­tie­run­gen mit ver­zweig­ter Benutzer-Community. Aus diesem Grund kommen LDAP und LDAP-Server auch in In­dus­trie­be­rei­chen wie dem Mobilfunk oder der Luftfahrt zum Einsatz, in denen mehrere Millionen Au­then­ti­fi­zie­rungs­an­fra­gen von Nutzern ver­ar­bei­tet werden.

An­wen­dungs­fäl­le, in denen sich der Einsatz von LDAP lohnt, sind u. a.:

• Benutzer- und Sys­tem­ver­wal­tung
• Zuordnung von Pro­to­kol­len und RFCs
• NIS-/Boot-In­for­ma­tio­nen
• Ver­wal­tung von DNS-Zo­nen­da­ten und Mount­points
• Or­ga­ni­sa­ti­on von Aliasen (E-Mail) und DHCP-Servern

Besonders ver­brei­tet ist LDAP vor allem in Bereichen, die auf um­fas­sen­de Adress-Abfragen und Benutzer-Au­then­ti­fi­zie­run­gen an­ge­wie­sen sind. Dazu zählen:

• Adress­bü­cher: Ver­wal­tungs-Software-Lösungen für digitale Kontakt-/Adress­bü­cher wie Mozilla Thun­der­bird, Microsoft Outlook oder Apple Kontakte
• Nut­zer­ver­wal­tung: Ver­zeich­nis­diens­te zur Be­nut­zer­ver­wal­tung wie Apple Open Directory, Microsoft Active Directory oder NetlQ eDi­rec­to­ry
• Au­then­ti­fi­zie­rung: Pro­gram­mier­schnitt­stel­len zur Benutzer-Au­then­ti­fi­zie­rung wie PAM
• Nut­zer­da­ten­ver­wal­tung: Or­ga­ni­sa­ti­on/Ver­wal­tung von Nut­zer­da­ten in POP/IMAP/SMTP-Servern oder in Da­ten­bank­sys­te­men und Mail­ser­vern wie qmail, sendmail oder exim
• Systeme zur Do­ku­ment­ver­wal­tung: Le­gi­ti­mie­rung von an­fra­gen­den Nutzern oder Ge­ne­rie­rung von Te­le­fon­bü­chern wie bei Mul­ti­funk­ti­ons­dru­ckern, AntiSpam-Lösungen, VoIP, WebProxy oder NetScaler

LDAP er­mög­licht op­ti­mier­te Au­then­ti­fi­zie­rung, Au­to­ri­sie­rung und eine ef­fi­zi­en­te Suche nach Adress- und Nut­zer­da­ten. Aufgrund seiner vielen Vorteile für Un­ter­neh­men dient LDAP als In­dus­trie­stan­dard, den die meisten Software-Produkte un­ter­stüt­zen. Die Haupt­vor­tei­le liegen in schnellen Abfragen und Ver­bin­dun­gen, einer schlanken Ab­fra­ge­spra­che und dem über­sicht­lich struk­tu­rier­ten Protokoll. Der Zugriff auf Daten sowie ihr Auslesen in LDAP-fähigen Ver­zeich­nis­diens­ten erfolgt dank nicht nor­ma­li­sier­ter Da­ten­spei­che­rung zügig. Das macht sich vor allem in Bereichen mit vielen kleinen, nicht stark un­ter­glie­der­ten Da­ten­ein­trä­gen bemerkbar.

Auch für re­gel­mä­ßi­ge Abfragen in großen Da­ten­be­stän­den oder für die verteilte Spei­che­rung von Daten bietet LDAP viel Zeit­er­spar­nis und leis­tungs­star­ke Da­ten­struk­tu­ren, u. a. durch ser­ver­weit verteilte Ver­zeich­nis­diens­te, ge­kop­pel­te Ver­zeich­nis-Re­pli­ka­tio­nen für den Abgleich von Daten und zu­ver­läs­si­ge Hoch­ver­füg­bar­keit. Mit der SSL/TLS-ge­si­cher­ten LDAP-Variante LDAPS ist zudem eine Ver­schlüs­se­lung von Sender- und Emp­fän­ger­da­ten und somit eine zer­ti­fi­kats­ge­stütz­te Au­then­ti­fi­zie­rung ga­ran­tiert. Durch den Aufbau einer SSL/TLS-Ver­bin­dung wird der Da­ten­aus­tausch zu­sätz­lich vor Ma­ni­pu­la­ti­on und Da­ten­dieb­stahl geschützt.