Was ist die LDAP-Authentifizierung?
Wie bereits erwähnt werden in LDAP-Verzeichnissen Identitäten von Benutzern und Gruppen, Passwörter und weitere Authentifizierungsdaten gespeichert. Bei der LDAP-Authentifizierung werden Anmeldedaten (Benutzername und Passwort) mit dem LDAP-Verzeichnis abgeglichen.
Bei dem Authentifizierungsvorgang wird zunächst der Benutzername in das Verzeichnis eingegeben. Wird er gefunden, überprüft der Authentifikator im Anschluss das Benutzerpasswort. Wenn Passwort und Benutzername laut Verzeichnis übereinstimmen, wird der Benutzer authentifiziert und der Zugriff gewährt. Andernfalls wird der Zugriff abgelehnt.
LDAP-Authentifizierungsoptionen
Um eine LDAP-Sitzung zu starten, muss zunächst ein Client mit dem Verzeichnisserver verbunden werden. Letzterer wird als Directory System Agent (DSA) bezeichnet. Standardmäßig wird für den Server die TCP-Portnummer 389 verwendet. Nach Herstellen der Verbindung werden zwischen Client und Server die erforderlichen Informationen ausgetauscht.
Sie können für LDAP eine Vielzahl von Vorgängen ausführen, beispielsweise Hinzufügen, Löschen, Ändern und Bindung bzw. Bindung auflösen. Für die LDAP-Authentifizierung sind zwei Optionen verfügbar, die einfache Authentifizierung und die Authentifizierung per SASL (Simple Authentication and Security Layer).
Einfache Authentifizierung
Bei der einfachen Authentifizierung handelt es sich um einen passwortbasierten Authentifizierungsfaktor, der drei Authentifizierungsmechanismen bereitstellt. Das sind die anonyme Authentifizierung, die nicht authentifizierte Authentifizierung und die Authentifizierung per Name/Passwort.
Bei der einfachen Authentifizierung werden ein zugewiesener Name (Distinguished Name, DN) und ein Passwort in einer Bindungsanfrage verwendet, um die LDAP-Authentifizierung zu erhalten. Die Clientanwendung nutzt den zugewiesenen Namen, um sich selbst bei der Interaktion mit dem Server zu identifizieren. Dann wird der zugewiesene Name mithilfe des Passworts authentifiziert.
SASL-Authentifizierung
Bei der SASL-Authentifizierung wird ein LDAP-Server an einen anderen Authentifizierungsmechanismus wie Kerberos angehängt. Der LDAP-Server sendet dann eine LDAP-Meldung über ein LDAP-Protokoll an einen anderen Authentifizierungsdienst. Der Prozess beginnt mit einer Reihe von Abfrageantworten. Schließlich führt er zu einer erfolgreichen Authentifizierung (Bindung) oder fehlgeschlagenen Authentifizierung (Bindung wird aufgelöst). Bei einer Gruppenzugehörigkeit, einem Domaincontroller, einer IP-Adresse oder einem anderen LDAP-Client ist es wichtig, zusätzlich eine TLS-Verschlüsselung (Transport Layer Security) zu nutzen. Dies ist ein einfacher Weg, um Benutzernamen und Passwörter einer Organisation zu schützen.
LDAP-Abfrage
Eine weitere Komponente des LDAP-Authentifizierungsvorgangs ist eine LDAP-Abfrage. Bei der LDAP-Abfrage handelt es sich um einen Befehl, der Verzeichnisinformationen von einem Verzeichnisdienst oder einem Directory System Agent abfragt. Er wird für Anfragen wie die Abfrage von Benutzerinformationen innerhalb eines bestimmten Suchfilters für diesen Endbenutzer verwendet. Doch werden für LDAP-Abfragen oft komplexe Syntaxen oder Schemata verwendet, die schwierig zu schreiben sind. Oft werden sie auf einer Point-and-Click-Oberfläche erstellt, über die LDAP-Abrufe und Abfragevorgänge verwaltet werden.
