integracja LDAP

Integracja LDAP to połączenie systemu z usługą katalogową umożliwiające centralne zarządzanie kontami użytkowników.

Rola LDAP w centralnym katalogu użytkowników

LDAP, czyli Lightweight Directory Access Protocol, jest protokołem przeznaczonym do komunikacji z usługą katalogową. Katalog przechowuje uporządkowane informacje o obiektach, takich jak konta użytkowników, grupy, urządzenia, jednostki organizacyjne i wybrane atrybuty tych obiektów. Integracja LDAP polega na skonfigurowaniu aplikacji tak, aby potrafiła wyszukiwać te dane oraz wykorzystywać je podczas logowania i nadawania dostępu. Dzięki temu konto używane w kilku systemach może być zarządzane z jednego źródła zamiast tworzenia oddzielnych danych logowania w każdej aplikacji.

LDAP organizuje wpisy w strukturze drzewa katalogowego, nazywanej DIT, czyli Directory Information Tree. Każdy wpis ma nazwę wyróżniającą DN, na przykład uid=anna,ou=Users,dc=example,dc=pl, oraz zestaw atrybutów opisujących obiekt. Elementy ou oznaczają jednostkę organizacyjną, a dc składniki domeny katalogowej. Konkretne nazwy atrybutów zależą od używanego schematu. Często spotykane są między innymi uid, cn, sn, mail i memberOf, ale aplikacja powinna odwoływać się wyłącznie do atrybutów faktycznie obecnych w danym katalogu.

Przebieg logowania przez usługę katalogową

Typowy mechanizm integracji rozpoczyna się od połączenia aplikacji z serwerem LDAP i wykonania operacji bind. W konfiguracji można wskazać konto techniczne używane do wyszukiwania użytkowników albo zastosować bind anonimowy, jeżeli serwer na to zezwala. Następnie aplikacja wykonuje wyszukiwanie z określonym punktem bazowym, filtrem oraz zakresem. Przykładowy filtr może mieć postać (uid=anna), natomiast zakres wyszukiwania może obejmować wyłącznie wskazaną gałąź drzewa albo również jej elementy podrzędne.

Po znalezieniu wpisu aplikacja może wykonać ponowny bind, tym razem z DN użytkownika i hasłem podanym podczas logowania. Pomyślne uwierzytelnienie oznacza, że serwer katalogowy zaakceptował dane uwierzytelniające, ale nie musi jeszcze oznaczać przyznania dostępu do konkretnej funkcji. Autoryzacja może dodatkowo sprawdzać członkostwo w grupie, wartość atrybutu, jednostkę organizacyjną albo mapowanie grup LDAP na role aplikacyjne. Błąd wyszukiwania, nieprawidłowy filtr i brak uprawnień konta technicznego są innymi problemami niż odrzucenie hasła użytkownika, dlatego logi powinny rozróżniać te przypadki.

Bezpieczne połączenie i parametry konfiguracji

LDAP może działać jako połączenie nieszyfrowane, połączenie zabezpieczone przez StartTLS albo połączenie LDAPS wykorzystujące TLS od początku sesji. W praktycznym wdrożeniu należy dopasować sposób połączenia do możliwości serwera katalogowego i aplikacji. Samo zaznaczenie opcji szyfrowania nie wystarcza, jeżeli klient nie ufa certyfikatowi serwera albo łączy się z nazwą, która nie znajduje się w certyfikacie. Weryfikacja certyfikatu i nazwy hosta jest istotna, ponieważ chroni przed zaakceptowaniem nieprawidłowego endpointu.

Konfiguracja integracji obejmuje zwykle adres serwera, port, bazę wyszukiwania, filtr użytkownika, sposób mapowania nazwy logowania, DN konta technicznego oraz mapowanie grup. Standardowy port LDAP to 389, a port często używany dla LDAPS to 636, jednak rzeczywiste wartości mogą zostać zmienione przez administratora. Należy również uwzględnić limit czasu połączenia, limit czasu wyszukiwania, maksymalną liczbę zwracanych wpisów i zachowanie aplikacji przy niedostępności katalogu. Te parametry wpływają na to, czy chwilowa awaria usługi katalogowej zablokuje logowanie wszystkim użytkownikom, czy tylko uniemożliwi nowe sesje.

Diagnostyka błędów integracji LDAP

Analizę problemu warto rozpocząć od sprawdzenia rozdzielnie warstwy sieciowej, TLS, wyszukiwania wpisu, uwierzytelniania i autoryzacji. Jeżeli host lub port są niedostępne, aplikacja nie wykona poprawnie żadnej operacji katalogowej. Jeżeli połączenie jest dostępne, ale występuje błąd certyfikatu, przyczyną może być brak właściwego certyfikatu urzędu certyfikacji w magazynie zaufania klienta, niezgodna nazwa DNS albo zakończenie ważności certyfikatu. Udane połączenie szyfrowane nie potwierdza jeszcze, że filtr wyszukiwania zwraca właściwy wpis.

W przypadku problemów z logowaniem należy sprawdzić, czy baza wyszukiwania obejmuje właściwą gałąź, czy filtr odpowiada rzeczywistemu atrybutowi identyfikującemu użytkownika oraz czy konto techniczne ma prawo odczytu wymaganych danych. Następnie trzeba zweryfikować DN znalezionego wpisu i wynik bind użytkownika. Gdy logowanie kończy się powodzeniem, lecz użytkownik nie otrzymuje roli, należy przeanalizować odczyt grup, format atrybutu członkostwa oraz reguły mapowania po stronie aplikacji. Diagnostyka laptopa lub komputera może obejmować także sprawdzenie ustawień DNS, zapory sieciowej, magazynu certyfikatów i logów klienta LDAP, ponieważ błędna konfiguracja lokalna może wyglądać jak awaria samego katalogu.