Clienții LDAP se pot autentifica la un server și pot căuta, compara, adăuga, modifica sau șterge intrări organizate într-un arbore ierarhic de informații de director. LDAPv3 definește protocolul de rețea și specificațiile conexe de schemă, denumire, securitate și extensie.
Fiecare intrare are un nume distinct și un set de atribute tipizate guvernate de scheme. Un client se poate lega anonim, cu un nume și o parolă sau printr-un mecanism Simple Authentication and Security Layer (SASL), apoi efectua operațiunile permise de politica serverului. Transport Layer Security (TLS), stabilit în mod obișnuit cu StartTLS, protejează confidențialitatea și integritatea schimburilor de director când este corect configurat și verificat.
Puncte esențiale
Rol de directorFolosiți LDAP pentru a interoga și menține înregistrări structurate de identitate, grup, dispozitiv, serviciu și configurație; definiți sursele autoritative și proprietatea în afara protocolului.
Controale de accesRestricționați citirile și scrierile la granularitate adecvată de intrare și atribut, protejați legăturile administrative și preveniți căutările largi să expună date sensibile de director.
Operare securizatăCereți protecție acceptabilă a transportului înainte de legăturile cu nume și parolă, validați identitatea serverului, tratați trimiterile cu atenție, monitorizați modificările și testați comportamentul schemei și replicării.
Limitare importantăLDAP este un protocol, nu un program de guvernanță a identității sau un produs de director complet. O legare reușită nu acordă acces universal, iar înregistrările învechite, permisiunile excesive de director sau accesul nesigur non-LDAP la depozitul subiacent rămân riscuri.