O Active Directory é um serviço que armazena informações sobre usuários e objetos da rede. O LDAP é um protocolo que acessa e modifica essas informações.
- O Active Directory (AD) é um serviço de diretório que as organizações usam para gerenciar seus usuários, dispositivos, domínios e objetos em uma rede.
- O Lightweight Directory Access Protocol (LDAP) é definido como um protocolo de software que gerencia serviços de diretório, como os oferecidos pelo Microsoft Active Directory.
Este artigo explica as diferenças críticas entre o LDAP e o Active Directory.
O que é Active Directory?
O Active Directory (AD) é o serviço de diretório de uma organização para gerenciar seus usuários, dispositivos, domínios e objetos em uma rede. A Microsoft projetou o diretório para armazenar informações de login para autenticar e autorizar o acesso a recursos em uma rede de domínio do Windows. O AD é executado em um servidor Windows. Além da autenticação, o diretório ao vivo oferece funcionalidades importantes, como gerenciamento de grupos e usuários, administração de políticas e muito mais.
A primeira versão do AD foi lançada em 2000, após o que a Microsoft lançou vários serviços de identidade baseados em diretório sob a marca AD. O Active Directory armazena dados como objetos organizados usando nomes e atributos. Um conjunto de objetos que usam um banco de dados do AD é chamado de domínio. Esses domínios com esquema e configuração comuns são chamados de árvore. Um grupo dessas árvores é também designado por floresta. Essas florestas constituem a estrutura de segurança do AD.
Active Directory Domain Services (AD DS) é o principal componente do AD que valida os usuários quando eles tentam se conectar a qualquer sistema baseado no Windows pela rede. Além disso, também atribui e aplica políticas de segurança para proteger os sistemas contra-ataques externos. Controladores de domínio (DC)” são os servidores responsáveis por executar o AD DS. Normalmente, as empresas têm vários DCs que verificam os usuários e autenticam as solicitações na rede.
Cada DC armazena o diretório para seu próprio domínio. Isso inclui usuários, dispositivos, ativos, aplicativos e grupos de segurança, juntamente com cópias de todos esses objetos de outros domínios na floresta. A configuração permite que os administradores localizem qualquer objeto de domínio na floresta. Além disso, as alterações feitas no diretório de um DC são replicadas em outros DCs para mantê-los atualizados. As alterações incluem adicionar, atualizar ou excluir entradas do banco de dados.
Microsoft AD: desenvolvimentos recentes
A Microsoft e seus produtos dependem do AD para suas várias operações locais e na nuvem. Por exemplo, em dezembro de 2016, a Microsoft lançou o ‘Azure AD Connect’ para integrar o sistema AD local com o Azure AD. O Azure AD Connect habilitou um recurso de autenticação de logon único (SSO) para usuários que pretendem usar os serviços de nuvem da Microsoft, como o Microsoft Office 365.
Hoje, o AD da Microsoft é um serviço de diretório comumente usado em escritórios e VPNs. Segundo o relatório de março de 2023 da Slintel, 33,42% do mercado global usa o Microsoft AD. O Azure Active Directory é usado por 13,52%, o Microsoft Azure Active Directory é usado por 10,42%, enquanto o AWS Identity and Access Management é usado por 5,54%.
O Microsoft AD oferece suporte a Kerberos e LDAP, essenciais para o gerenciamento geral de acesso, onde os logins de vários dispositivos e plataformas são gerenciados em um só lugar. Além do Active Directory Domain Services, existem vários outros serviços de diretório que também oferecem suporte ao protocolo LDAP, incluindo o Red Hat Directory Service, o OpenLDAP, o Apache Directory Server, entre outros.
Além do serviço AD, a Microsoft oferece um conjunto de tecnologias que incluem Lightweight Directory Services (AD LDS), Federation Services (AD FS), Rights Management Services (AD RMS) e Certificate Services (AD CS) para Active Directory local relacionado implantações.
Benefícios do AD
O objetivo geral do AD é ter um repositório centralizado onde todos os recursos da rede possam ser armazenados. Além disso, mantém os componentes de rede seguros e organizados sem o uso excessivo de recursos de TI.
- Entenderemos alguns dos benefícios críticos do Active Directory.
- É fácil criar contas de usuário, excluir contas de usuário e adicionar novos recursos à rede.
- Envolve um processo simples para redefinir as senhas dos objetos de rede.
- Os administradores podem definir facilmente as permissões de acesso para grupos específicos. Por exemplo, configurar grupos de usuários que podem compartilhar arquivos e aplicativos.
- É fácil estabelecer a hierarquia de rede de uma organização. Por exemplo, o AD permite determinar se dispositivos específicos pertencem à sua rede.
O que é protocolo de acesso a diretório leve (LDAP)?
LDAP (Lightweight Directory Access Protocol) é um protocolo de software que gerencia serviços de diretório, como os oferecidos pelo Microsoft AD. O LDAP ajuda os usuários a acessar, consultar e gerenciar informações em um diretório em uma rede privada ou na Internet pública. O LDAP permite um gerenciamento de diretório eficaz, no qual os usuários podem adicionar, excluir, modificar e pesquisar entradas no banco de dados do diretório. Além disso, simplifica a autenticação e autorização do usuário para o diretório.
Faremos uma analogia para entender isso melhor. O Active Directory pode ser considerado um registro telefônico contendo os detalhes de contato de uma pessoa ou empresa. Por outro lado, o LDAP pode ser considerado o smartphone que usa o registro para se conectar a esses indivíduos. Portanto, o LDAP pode ser considerado um meio de conexão com o Active Directory.
O LDAP usa o padrão X.500 para consultar e organizar informações de vários servidores da web usando vários atributos. O LDAP é uma versão ‘leve’ (ou simplificada) do DAP (Directory Access Protocol).
Como funciona o LDAP?
Suas operações começam quando um usuário LDAP se conecta a um servidor LDAP. O processo envolve as seguintes etapas:
- Um cliente ou aplicativo solicita uma conexão com o servidor LDAP.
- Em seguida, o cliente envia uma consulta ao servidor por meio do protocolo LDAP.
- Em seguida, o protocolo varre o diretório, procura informações relevantes, executa tarefas apropriadas e envia as informações de volta ao cliente.
- O cliente se desconecta do servidor assim que a consulta é atendida.
No entanto, o administrador deve definir alguns outros parâmetros para otimizar a pesquisa antes que o cliente dispare a consulta no servidor LDAP. Por exemplo, isso pode incluir o limite de tamanho da pesquisa, o tempo que o servidor pode gastar processando a consulta, etc.
Além disso, antes que o servidor LDAP inicie a eventual operação de pesquisa, é essencial autenticar os usuários e aplicativos por meio da operação de vinculação do LDAP. Isso pode ser feito usando um dos dois métodos a seguir:
- Autenticação simples: envolve o processo simples de inserir as credenciais do cliente verificadas pelo servidor. Após a verificação bem-sucedida, o cliente se conecta ao servidor. No entanto, isso não é seguro, pois as credenciais são transferidas pela rede em texto não criptografado.
- Simple Authentication and Security Layer (SASL): Nesse método, o servidor LDAP usa um serviço secundário, como o Kerberos, que usa processos baseados em criptografia para verificar as identidades dos usuários. As organizações que exigem medidas de segurança mais robustas podem aproveitar esse método.
Além disso, após a autenticação do usuário, verifica-se se o usuário possui autorização para acessar os recursos de rede solicitados. Quando o cliente não possui os privilégios necessários, o servidor LDAP nega a solicitação de acesso.
Aplicativos que usam LDAP
O LDAP estabelece um local centralizado para autenticação. Sua aplicação principal é validar usuários com servidores Jenkins, Kubernetes, OpenVPN e Linux Samba. Além disso, o LDAP é usado para manipular o banco de dados do servidor de diretórios, por poder executar as seguintes operações:
- Adicionar operações;
- Autenticar ou vincular sessões;
- Remover entradas LDAP;
- Pesquise e compare entradas por meio de comandos;
- Alterar entradas existentes;
- Pedidos de abandono;
- Desvincular operações.
Conforme discutido anteriormente, o LDAP é usado por diretórios ativos como Active Directory da Microsoft, OpenLDAP, Red Hat Directory Server e IBM Security Directory Server. Entenderemos a função do LDAP em cada diretório.
- OpenLDAP: É um cliente LDAP de código aberto desenvolvido para gerenciamento de banco de dados LDAP. O programa cliente procura, cria, exclui e modifica informações no servidor LDAP. Além disso, permite que os usuários gerenciem e naveguem por senhas usando esquema.
- Red Hat Directory Server: É um programa UNIX que lida com vários sistemas de rede executados em um servidor LDAP. O programa limita o acesso do usuário aos dados do diretório, restringe os privilégios de acesso e controla o acesso remoto ao servidor LDAP.
- IBM Security Directory Server: Representa uma ferramenta LDAP da IBM. Essa implementação cria e distribui rapidamente identidades de usuários, segurança e aplicativos da web.
LDAP x Active Directory: 14 principais diferenças
O Active Directory é um serviço de diretório de rede vinculado a usuários, dispositivos e serviços da Microsoft. Embora o LDAP defina um protocolo não conectado à Microsoft, ele permite que os usuários consultem diretórios como o AD. A parceria de AD e LDAP é crucial para empresas que pretendem proteger sua rede de atores externos e violações de acesso, ao mesmo tempo, em que tornam suas informações confidenciais acessíveis a partes internas e externas.
Discutiremos algumas das diferenças críticas entre AD e LDAP.
Conclusão
O LDAP é um protocolo obrigatório para empresas que exigem serviço de diretório escalável e é fácil de usar. Além disso, é compatível com vários sistemas operacionais, plataformas e aplicativos diferentes. Por outro lado, o AD é uma opção preferencial para organizações que requerem serviço de diretório avançado que pode ser executado em ambientes de rede Windows e possui recursos de gerenciamento eficazes.
