Klienci LDAP mogą uwierzytelniać się do serwera oraz wyszukiwać, porównywać, dodawać, modyfikować lub usuwać wpisy zorganizowane w hierarchicznym drzewie informacji katalogowej. LDAPv3 definiuje protokół transmisyjny oraz powiązane specyfikacje schematu, nazewnictwa, bezpieczeństwa i rozszerzeń.
Każdy wpis ma nazwę wyróżniającą (distinguished name) i zbiór typowanych atrybutów rządzonych przez schematy. Klient może powiązać się (bind) anonimowo, z nazwą i hasłem lub przez mechanizm Simple Authentication and Security Layer (SASL), a następnie wykonywać operacje dozwolone przez politykę serwera. Transport Layer Security (TLS), powszechnie ustanawiany przez StartTLS, chroni poufność i integralność wymian katalogowych, gdy jest poprawnie skonfigurowany i weryfikowany.
Najważniejsze punkty
Rola kataloguUżywaj LDAP do odpytywania i utrzymywania ustrukturyzowanych rekordów tożsamości, grup, urządzeń, usług i konfiguracji; definiuj autorytatywne źródła i właścicielstwo poza protokołem.
Kontrole dostępuOgraniczaj odczyty i zapisy z odpowiednią szczegółowością wpisów i atrybutów, chroń powiązania administracyjne i zapobiegaj ujawnianiu wrażliwych danych katalogowych przez szerokie wyszukiwania.
Bezpieczna eksploatacjaWymagaj akceptowalnej ochrony transportu przed powiązaniami z nazwą i hasłem, waliduj tożsamość serwera, obsługuj odesłania (referrals) ostrożnie, monitoruj zmiany i testuj zachowanie schematu oraz replikacji.
Istotne ograniczenieLDAP to protokół, a nie program zarządzania tożsamością ani kompletny produkt katalogowy. Pomyślne powiązanie nie daje uniwersalnego dostępu, a nieaktualne rekordy, nadmierne uprawnienia katalogowe lub niezabezpieczony dostęp nie-LDAP do magazynu pozostają ryzykiem.