Was ist LDAP-Authentifizierung?

LDAP (Lightweight Directory Access Protocol) ist ein Protokoll, mit dem Nutzende Daten zu Organisationen, Personen und mehr finden können. LDAP hat 2 Hauptziele: Daten im LDAP-Verzeichnis zu speichern und Nutzende für den Zugriff auf dieses Verzeichnis zu authentifizieren. Es stellt auch die Kommunikationssprache bereit, die Anwendungen benötigen, um Informationen an Directory Services zu senden und von diesen zu empfangen. Ein Directory Service ermöglicht den Zugriff auf denOrt, an dem sich Informationen zu Organisationen, Personen und anderen Daten in einem Netzwerk befinden.

Der häufigste Use Case für LDAP ist das Bereitstellen eines zentralen Orts für den Zugriff auf und die Verwaltung von Directory Services. Mit LDAP können Organisationen Informationen über die Organisation selbst, ihre Nutzenden und Assets wie Benutzernamen und Passwörter speichern, verwalten und sichern. Die dabei bereitgestellte hierarchische Informationsstruktur vereinfacht den Storage-Zugriff, was für wachsende Unternehmen mit immer mehr Benutzerdaten und Assets von entscheidender Bedeutung sein kann.

LDAP fungiert auch als IAM-Lösung (Identity and Access Management), die auf die Authentifizierung von Nutzenden abzielt und Unterstützung für Kerberos und SSO (Single Sign-On), SASL (Simple Authentication Security Layer) und SSL (Secure Sockets Layer) bietet.

LDAP ist das Kernprotokoll, das insbesondere –aber nicht ausschließlich – im AD-Verzeichnisdienst (Active Directory) von Microsoft verwendet wird. Dabei handelt es sich um eine große Directory Service-Datenbank, die Informationen zu allen Nutzerkonten in einem Netzwerk enthält. Genauer gesagt ist LDAP eine schlanke Version von DAP (Directory Access Protocol) und bietet einen zentralen Ort für den Zugriff auf und die Verwaltung von Directory Services, die auf dem TCP/IP (Transmission Control Protocol/Internet Protocol) ausgeführt werden. Die neueste Version ist LDAPv3. 

AD übernimmt die Authentifizierung und Verwaltung von Nutzenden und Gruppen und ist damit die Instanz, die Nutzende oder Computer letztlich authentifiziert. Die Datenbank enthält ein höheres Volumen an Attributen, als in LDAP abgerufen wird. LDAP ist jedoch darauf spezialisiert, ein Verzeichnisobjekt mit wenigen Informationen zu finden. Daher muss es nicht alle seine Attribute aus AD oder dem Directory Service, von dem es Daten abruft, extrahieren.

Das Hauptziel von LDAP besteht darin, mit Objekten (d. h. Domains, Nutzenden oder Gruppen) zu kommunizieren, sie zu speichern und in einem für das eigene Verzeichnis auf dem LDAP-Server nutzbaren Format zu extrahieren.

Sie können sich das so vorstellen: AD ist die größte Bibliothek der Welt, und Sie suchen nach einem Buch mit einem Titel, in dem das Wort „Zombies“ vorkommt. Ob das Buch in den USA veröffentlicht wurde, mehr als 1.000 Seiten umfasst oder eine Anleitung zum Überstehen der Zombie-Apokalypse enthält – diese Details spielen in der Welt von LDAP keine Rolle, obwohl sie helfen können, die verfügbaren Optionen einzugrenzen. Wie die erfahrenen Mitarbeitenden einer Bibliothek weiß LDAP genau, wo Sie die Optionen finden, die Ihre Anfrage erfüllen, und verifiziert, dass Sie das Gesuchte gefunden haben.

Wodurch wird eine LDAP-Suche ausgelöst, und wie funktioniert sie?

Der LDAP-Authentifizierungsprozess ist ein Client/Server-Authentifizierungsmodell und besteht aus folgenden Hauptkomponenten:

• Directory System Agent (DSA): Ein Server, der LDAP in seinem Netzwerk ausführt.
• Directory User Agent (DUA): Greift als Client (z. B. PC eines Nutzenden) auf DSAs zu.
• DN: Der Distinguished Name, der einen Pfad durch den DIT (Directory Information Tree) enthält, anhand dessen LDAP durch das Verzeichnis navigiert (z. B. cn=Susan, ou=users, o=Company).
• Relative Distinguished Name (RDN): Jede Komponente im Pfad innerhalb des DN (z. B. cn=Susan).
• Application Programming Interface (API): Ermöglicht die Kommunikation Ihres Produkts oder Service mit anderen Produkten und Services, ohne dass Sie wissen müssen, wie diese implementiert wurden.

Der Prozess beginnt, wenn Nutzende versuchen, auf ein LDAP-fähiges Client-Programm auf ihrem PC zuzugreifen, etwa auf eine geschäftliche E-Mail-Anwendung. Mit LDAPv3 durchlaufen Nutzende eine von 2 möglichen Methoden zur Authentifizierung von Nutzenden: einfache Authentifizierung wie SSO mit Anmeldedaten oder SASL-Authentifizierung, die den LDAP-Server an ein Programm wie Kerberos bindet. Beim Anmeldeversuch wird eine Anforderung zur Authentifizierung des DN gesendet, der dem oder der Nutzenden zugewiesen ist. Der DN wird über die Client-API oder den Service gesendet, der den DSA startet.

Der Client wird automatisch an den DSA gebunden, und LDAP sucht mithilfe des DN nach dem Objekt oder der Gruppe von Objekten, die mit den Datensätzen in der LDAP-Datenbank übereinstimmen. Die RDNs im DN sind in dieser Phase sehr wichtig, da sie die jeweiligen Schritte der LDAP-Suche durch den DIT bereitstellen, um die Person zu finden. Wenn im Pfad ein verbundener RDN im Backend fehlt, wird das Ergebnis möglicherweise als ungültig angezeigt. In diesem Fall ist das Objekt, nach dem LDAP sucht, das Nutzerkonto der Person (cn=Susan). Die oder der Nutzende kann nur validiert werden, wenn das Konto im Verzeichnis die übereinstimmende UID und das entsprechende userPassword aufweist. Nutzergruppen werden auch als Objekte im LDAP-Verzeichnis identifiziert.

Sobald die oder der Nutzende eine Antwort (gültig oder ungültig) erhält, hebt der Client die Bindung zum LDAP-Server auf. Authentifizierte Nutzende können dann mit den vom Systemadministrationsteam erteilten Berechtigungen auf die API und ihre Services zugreifen, einschließlich der erforderlichen Dateien, Nutzerinformationen und anderer Anwendungsdaten.

Die schlanke Struktur von LDAP und die Verwendung eines DIT ermöglichen die schnelle Ausführung von LDAP-Suchen und die erfolgreiche Bereitstellung von Ergebnissen. Ein Verständnis des DIT ist wesentlich, um einen LDAP-Server optimal nutzen und die Funktionsweise von LDAP-Suchen nachvollziehen zu können.

Der DIT ermöglicht eine schnelle Navigation durch die verschiedenen Ebenen des LDAP-Verzeichnisses, um die Suchergebnisse einzugrenzen und eine Antwort auf eine Abfrage bereitzustellen. Der DIT beginnt beim Root-Verzeichnis, gefolgt von Ländern, und verzweigt sich dann in 2 Unterklassen: Domain Component (dc) und Organization Name (o).

Domain Access Component (dc)

Die Komponente dc (d. h. dc=com, dc=example) verwendet DNS-Mapping (Domain Name System), um Internet-Domainnamen zu finden und sie in IP-Adressen zu übersetzen.

Die meisten Nutzenden kennen den Domainnamen und/oder die IP-Adresse der Person, nach der sie suchen, nicht. In diesem Fall verwendet LDAP den Distinguished Name (DN), der dem oder der Nutzenden zugewiesen wurde, als Pfad, um schnell durch den DIT zu navigieren und das Suchergebnis zu finden. Hier kommt die Unterklasse o ins Spiel.

Organization Name (o)

Die Unterklasse o (z. B. o-Company) ist eine der allgemeinsten Unterklassen, die im DN aufgeführt sind, und ist in der Regel der Ort, an dem LDAP eine Suche beginnt. Ein einfacher Pfad beginnt in der Regel mit der Unterklasse o, verzweigt dann zur Organizational Unit (ou) und führt anschließend zu einem Nutzerkonto oder einer Gruppe.

Organizational Unit (ou)

Wie bereits erwähnt, ist ou eine Unterklasse von o und wird häufig als ou=users oder ou=group bezeichnet, die beide jeweils eine Liste von Nutzerkonten oder Gruppen enthalten. So könnte das in einem Verzeichnis aussehen:

• o-Company

  • ou=groups

    • cn=developers

  • ou=users

    • cn=Susan 

Common Name (cn)

Ein Common Name oder cn wird verwendet, um den Namen einer Gruppe oder des Nutzerkontos einer Person zu identifizieren (beispielsweise cn=developers, cn=Susan). Nutzende können einer Gruppe angehören. Wenn Susan eine Entwicklerin ist, kann sie auch unter cn=developers aufgeführt sein.

Attribute und Werte

Die Unterklassen im LDAP-DIT (d. h. o, ou, cn) enthalten jeweils Attribute und Werte oder ein Schema mit Informationen zur Struktur eines LDAP-Verzeichnisses, die beim Eingrenzen der Suche helfen können. Die Attribute ähneln denen in einem Adressbucheintrag mit Labels wie Name, Telefonnummer und Adresse. Den einzelnen Attributen sind Werte zugewiesen. Susan ist beispielsweise der Wert des Attributs „name“.

Im Konto cn=Susan sind user id (uid) und userPassword Attribute, und die Nutzeranmeldedaten sind Werte. In einer Gruppe wie cn=developers verfügt Susan jedoch über das Attribut uniqueMember (beispielsweise uniqueMember=cn-Susan,ou-Users,o-Company). Dadurch wird ein Pfad zu Susans individuellem Nutzerkonto und den Informationen zugeordnet, nach denen LDAP sucht. Ein Nutzerkonto ist das Ende der Zeile im DIT, von wo aus LDAP letztendlich die Suchergebnisse extrahiert.

Es gibt viele andere Attributtypen und -syntaxen, mit denen Sie eine Suche eingrenzen können, darunter ObjectClasses, wie organizationalPerson (strukturell) oder personal (strukturell). Um die Anwendung schlank und benutzerfreundlich zu gestalten, ist die Anzahl der Attribute in LDAP jedoch begrenzt.

Netzwerkadministrationsteams in Unternehmen verwalten normalerweise Tausende von Nutzenden gleichzeitig. Das bedeutet, dass sie für die Zuweisung von Zugriffskontrollen und -richtlinien basierend auf der Rolle der Nutzenden und dem Zugriff auf Dateien für alltägliche Aufgaben, wie etwa ein Firmen-Intranet, verantwortlich sind.

LDAP vereinfacht die Benutzerverwaltung, spart Netzwerkadministrationsteams wertvolle Zeit und zentralisiert den Authentifizierungsprozess. Vor der Integration von LDAP in Ihre Umgebung sollten Sie Folgendes berücksichtigen:

• Kapazität: Wie viele Daten zur Benutzerverwaltung müssen Sie speichern? Überlegen Sie, ob Produkte, die LDAP-Lösungen implementieren, über die nötige Kapazität zum Speichern und Verwalten der benötigten Daten verfügen.

• Suchhäufigkeit: Gibt es Daten, auf die Nutzende täglich zugreifen müssen, wie etwa auf das Intranet eines Unternehmens, E-Mail-Anwendungen oder Services? In diesem Fall könnte LDAP die richtige Wahl für Sie sein.

• Organisation: Bietet der einfache DIT in LDAP genug Organisationsparameter für Ihre Daten, oder benötigen Sie ein detaillierteres System?

LDAP wird zwar häufig in AD verwendet, kann aber auch zur Authentifizierung von Nutzenden für andere Tools und Client-Umgebungen verwendet werden, darunter Red Hat Directory Server auf UNIX und die Open Source-Anwendung OpenLDAP auf Windows. Sie können die Authentifizierungs- und Benutzerverwaltungsfunktionen von LDAP auch für das API-Management, RBAC (Role-based Access Control) oder andere Anwendungen und Services wie Docker und Kubernetes nutzen.

8 Tech-Tipps für mehr Sicherheit und Compliance

Red Hat® Enterprise Linux® umfasst zentralisierte Identitätsmanagementfunktionen, mit denen Sie Nutzende authentifizieren und RBAC über eine einzige, skalierbare Schnittstelle implementieren können, die sich über Ihr gesamtes Rechenzentrum erstreckt.

Das Identitätsmanagement mit Red Hat Enterprise Linux umfasst zahlreiche Authentifizierungs- und Autorisierungsfunktionen, darunter:

• Zentralisiertes Identitätsmanagement: Red Hat Enterprise Linux erleichtert das zentralisierte Identitätsmanagement und ermöglicht es Unternehmen, Sicherheitskontrollen durchzusetzen, Compliance-Standards einzuhalten und Authentifizierungsrichtlinien von einer zentralen Stelle aus zu verwalten – für plattformübergreifende Konsistenz, ein besseres Benutzererlebnis und weniger IT-Aufwand.
• Multi-Faktor-Authentifizierung (MFA) und passwortlose Funktionen: Red Hat Enterprise Linux bietet MFA (Multi-Faktor-Authentifizierung), eine zweite Schicht der Identitätsverifizierung. Red Hat Enterprise Linux baut die ZTA-Reife (Zero Trust-Architektur) auf, indem es die passwortlose Authentifizierung unterstützt, darunter FIDO2/WebAuthn und über Passkeys generierte Kerberos-Tickets für SSH- und GDM-Anmeldungen – für Sicherheit, die statt einfacher MFA auf ein phishing-resistentes, adaptives Authentifizierungsmodell setzt.
• Integration externer Identity Provider: Red Hat Enterprise Linux ermöglicht Nutzenden die Authentifizierung bei Clients mit OAuth 2.0 und lässt sich in externe Identity Provider wie Keycloak, Entra ID (Azure AD) und GitHub integrieren. Dies ermöglicht die Delegation von Authentifizierungs- und Autorisierungsprozessen an externe Entitäten, was die Flexibilität und Interoperabilität in verschiedenen IT-Umgebungen erhöht.
• Umfassendes Richtlinien- und Zertifikatsmanagement: Mit Red Hat Enterprise Linux lassen sich Sicherheitsrichtlinien auf Ihr Unternehmen zugeschnitten verwalten, einschließlich Role-based Access Control für die Delegierung der IdM-Serveradministration (Identity Management) und benutzerdefinierter sudo-Regeln zur Einschränkung der Berechtigungseskalation. Darüber hinaus bietet RHEL robuste Tools für das Zertifikatsmanagement, die den gesamten Lebenszyklus von Zertifikaten automatisieren. Dabei werden Ablaufzeiten verfolgt, rechtzeitige Erneuerungen sichergestellt und die Authentifizierung über die Public Key Infrastructure (PKI) zur Verifizierung vertrauenswürdiger Identitäten genutzt – eine wichtige Komponente von ZTA.
• Automatisierung und Orchestrierung mit Systemrollen: Mithilfe von Red Hat Systemrollen (unterstützt von Ansible Automation Platform) automatisiert Red Hat Enterprise Linux die Sicherheitskonfiguration und -verwaltung. Diese Automatisierung ist wichtig, um die Konsistenz und Compliance in verschiedenen Umgebungen sicherzustellen – von Cloud- bis On-Premise-Umgebungen – und so den manuellen Arbeitsaufwand und potenzielle Fehlkonfigurationen zu reduzieren. Systemrollen sind Teil der Automatisierungs- und Orchestrierungsschicht im CISA-ZTA-Framework.

Mehr über Sicherheit in Red Hat Enterprise Linux erfahren

Für Kunden mit besonderen Anforderungen bietet Red Hat außerdem Red Hat Directory Server als Add-On an.

Red Hat Directory Server ist ein LDAP-basiertes Verzeichnis, das für große, vielfältige Umgebungen skalierbar ist. Nutzen Sie die Vorteile einer nahezu direkt einsetzbaren Alternative für vorhandene, teure LDAP-Lösungen von Drittanbietern, und verwalten Sie verteilte und komplexe Verzeichnistopologien mit einem breiten Spektrum an Replikationsoptionen. Profitieren Sie von der Flexibilität, die diese Lösung durch anpassbare Attribute und Schemata für Ihre Verzeichnisdaten bietet.