LDAP

LDAP

1. DIT

   • Árvore de Informações de Diretório
   • Cada registro na DIT tem que possuir um identificador único, para não haver ambiguidades na hora das buscas. Esse identificador único é chamado de DN (Distinguished Name - nome distinto), que é basicamente o caminho de registros que fica entre o registro a ser especificado e a raiz. Mas como indicar quais os registros que ficam nesse caminho? Através de vários RDN (Relative Distinguished Name), onde cada RDN é um atributo que identificará um registro em seu nível. Um pouco complicado não? Vamos ver o exemplo na próxima página para facilitar o entendimento.
   • Registro
     • Conjunto de informações sobre certo objeto
     • Um registro pode ser constituído por uma ou mais Object Class
     • DN
       • Distinguished Name É basicamente o caminho de registros que fica entre o registro a ser especificado e a raiz.
       • Ex.: Registro 1         DN: DC=RNP         RDN: dc=RNP Registro 2         DN: ou=pop-ce,dc=rnp         RDN: ou=pop-ce
     • RDN
       • Relative Distinguished Name É um atributo que identificará um registro em seu nível
       • Exemplo esta no vértice DN
     • Árvore
   • Schema
     • A descrição de quais Object Class podem ser usados. É no Schema que encontramos quais atributos são obrigatórios, quais são opcionais, sua sintaxe (String, integer, etc).
     • Os schemas em LDAP permitem manter a consistência dos dados do Diretório. Uma importante característica é serem extensíveis e assim podemos adicionar mais atributos ou classes dependente das necessidades. Para usar um schema é necessário inclui-lo no arquivo de configuração slapd.conf. Os schemas definem: • quais as object classes que podem ser inseridas num Diretório; • quais os atributos de uma determinada object class; • os valores possíveis para os atributos; Obs.: Se um objeto (entrada), não obedecer às regras do schema, este não pode ser inserido no diretório. Portanto cada entrada estará condicionada a uma hierarquia de armazenamento dos dados na base LDAP. Isto é especificado através do Distinguished Name (DN).
     • Atributos
       • cn
       • sn
       • mail
       • manager
       • o
       • UID
     • Object Class
       • Object Identifier

2. Modelos de Nomes

   • O Modelo de nomes é o que trata da organização da DIT, como os RDNs, DNs
   • Este modelo define a forma como a informação no Diretório LDAP pode ser organizada e referenciada. As entradas são organizadas numa DIT e divididas segundo uma distribuição geográfica e/ou organizacional. Cada entrada tem um DN que especifica o caminho da raiz até à entrada.

3. Modelo de Informações

   • É o que trata dos atributos, das Objetc Class, dos Schemas, etc.
   • Define o tipo de informação que pode ser armazenada num Diretório LDAP. A unidade básica da informação armazenada no Diretório é chamada de entrada. Esse modelo, herdado quase sem alterações do X.500, é extensível. Ao definir novas object classes, pode-se adicionar a um Diretório qualquer tipo de informação.

4. Modelo de Segurança

   • Trata de aspectos como autenticação e autorização
   • Para dizer o que cada usuário terá permissão de fazer (ler ou modificar) e em quais registros ele poderá fazer isso (registros próprios dele ou dos outros), existem as ACLs (Access Control Lists). 
   • Este importante modelo, define como os dados do Diretório LDAP podem ser protegidos de acessos ou modificações não autorizadas. Para isso, existem três aspectos básicos na proteção da informação do Diretório: Acesso – Para o acesso seguro o LDAP suporta o TLS que criptografa toda a comunicação entre cliente e servidor. Desta forma garante a segurança das informações que são trocadas na rede. Autenticação – é a forma de provar ao serviço que um cliente é válido. Para autenticação o LDAP suporta a SASL, que permite que o cliente e servidor negociem um método de autenticação (seguro). Autorização – é o serviço que fornece ou nega direitos específicos ou funcionalidades ao cliente. A autorização é controlada pelas ACLs. O LDAP irá controlar todos os três aspectos da Authentication, Authorization, Accounting (AAA) através de Listas de Controle de Acesso, isto é, ACLs. As ACLs podem ser usadas para autorizar o acesso baseado em muitos fatores diferentes. Elas podem ser usadas para forçar tipos específicos de autenticação. Uma vez que o cliente esteja autenticado como válido, as ACLs são usadas para autorizar o cliente. O cliente quando chama a operação “bind” fornece a sua identificação (distinguished name), credenciais de autenticação, password, chaves privadas, etc. Uma lista de controle de acesso é usada para determinar que entradas do Diretório o cliente pode ver e que alterações ele tem permissão para fazer. Há a possibilidade de um cliente não se identificar, ou seja, ter acesso ao Diretório como anônimo. Nesse caso as regras de controle de acesso também determinarão o que o cliente poderá ou não fazer.

5. Modelo Funcional

   • Define o que pode ser feito com a informação no Diretório LDAP e como podemos altera-la e a forma de ter acesso. Funcionalmente as operações definidas pelo LDAP estão divididas em três categorias: – Interrogação: • ldapsearch – faz pesquisas das entradas no Diretório; • ldapcompare – verifica se uma entrada contém um dado valor num  atributo; – Atualização: • ldapmodify – altera uma entrada existente; • ldapadd – adiciona uma nova entrada; • ldapdelete – apaga uma entrada existente; • ldapmodrdn – renomeia uma entrada existente; – Autenticação: • ldap_bind – faz autenticação do cliente (PHP3, PHP4, PHP5); • ldap_unbind – encerra uma sessão LDAP;
   • Interrogação
   • Atualização
   • Autenticação

6. FINS

7. Porta

   • 389
     • Padrão
   • 636
     • Criptografada / Modo SSL

Images and files in the map