Klienti LDAP se mohou autentizovat k serveru a vyhledávat, porovnávat, přidávat, modifikovat či mazat položky organizované v hierarchickém adresářovém informačním stromu. LDAPv3 definuje protokol na lince a související specifikace schématu, pojmenování, zabezpečení a rozšíření.
Každá položka má rozlišující jméno a sadu typovaných atributů řízených schématy. Klient se může vázat anonymně, jménem a heslem či mechanismem Simple Authentication and Security Layer (SASL), poté provádět operace povolené politikou serveru. Transport Layer Security (TLS), běžně navazované pomocí StartTLS, chrání důvěrnost a integritu adresářových výměn, když je správně nakonfigurováno a verifikováno.
Klíčové body
Role adresářePoužívejte LDAP k dotazování a údržbě strukturovaných záznamů identit, skupin, zařízení, služeb a konfigurace; definujte autoritativní zdroje a vlastnictví mimo protokol.
Kontroly přístupuOmezte čtení a zápisy na vhodné granularitě položek a atributů, chraňte administrativní vazby a zabraňte širokým vyhledáváním vystavovat citlivá adresářová data.
Bezpečný provozVyžadujte přijatelnou ochranu transportu před vazbami jménem a heslem, validujte identitu serveru, nakládejte s referrals opatrně, monitorujte změny a testujte chování schématu a replikace.
Důležité omezeníLDAP je protokol, nikoli program správy identit či kompletní adresářový produkt. Úspěšná vazba neuděluje univerzální přístup a zastaralé záznamy, nadměrná adresářová oprávnění či nezabezpečený ne-LDAP přístup k podkladovému úložišti zůstávají riziky.