LDAP autoryzacja

Autoryzacja LDAP to weryfikacja danych logowania w katalogu usług przez ten protokół.

Jak działa autoryzacja przez LDAP

LDAP (Lightweight Directory Access Protocol) to protokół używany do przeszukiwania i uwierzytelniania w scentralizowanych katalogach użytkowników, takich jak Active Directory czy OpenLDAP. Serwer pocztowy lub aplikacja firmowa łącząca się przez LDAP przekazuje login i hasło użytkownika do kontrolera domeny, który weryfikuje je względem jednego, wspólnego wpisu w katalogu zamiast lokalnej bazy haseł. Dzięki temu pracownik loguje się tymi samymi danymi do poczty, sieci firmowej i innych systemów, a administrator zarządza dostępem z jednego miejsca, co znacznie upraszcza nadawanie i odbieranie uprawnień przy zmianach kadrowych. Taki model nazywa się czasem logowaniem jednokrotnym w wersji uproszczonej, bo nie wymaga osobnego mechanizmu SSO ani dodatkowej infrastruktury.

Warianty i bezpieczeństwo połączenia

Klasyczne zapytania LDAP na porcie 389 przesyłają dane w formie czytelnej dla podsłuchującego, dlatego w środowiskach firmowych stosuje się LDAPS (port 636, szyfrowanie SSL/TLS) albo mechanizm StartTLS, który podnosi zwykłe połączenie do szyfrowanego już w trakcie sesji. Autoryzacja LDAP bywa łączona z Kerberosem, znanym z logowania zintegrowanego w Active Directory, albo używana jako prosty bind, czyli próba zalogowania się kontem użytkownika bezpośrednio do katalogu. W mniejszych firmach spotyka się też uproszczone wdrożenia oparte na OpenLDAP obsługującym tylko kilkanaście kont, gdzie cała konfiguracja mieści się na jednym niewielkim serwerze.

Najczęstsze problemy z konfiguracją

Typowe usterki to błędny base DN, czyli ścieżka przeszukiwania katalogu, wygasłe lub zablokowane konto usługowe, którym aplikacja łączy się z katalogiem, oraz certyfikat LDAPS niezaufany przez klienta pocztowego. Po stronie serwera częstą przyczyną odmowy dostępu jest też restrykcyjna reguła zapory sieciowej blokująca port 389 lub 636 między serwerem pocztowym a kontrolerem domeny, a po awarii kontrolera domeny logowanie do poczty potrafi przestać działać dla wszystkich pracowników jednocześnie, co bywa dotkliwe w godzinach szczytu pracy biura.

Kiedy przydaje się pomoc z zewnątrz

Jeśli w małej firmie po awarii kontrolera domeny nikt nie może zalogować się do poczty albo konfiguracja LDAP w programie pocztowym sprawia trudność, warto sięgnąć po wsparcie kogoś, kto na co dzień zajmuje się infrastrukturą sieciową. Warszawskie Pogotowie Komputerowe pomaga zdiagnozować połączenie z katalogiem i poprawnie skonfigurować autoryzację na stacjach roboczych, także zdalnie, bez konieczności wizyty w siedzibie firmy.