LDAP nedir?
LDAP (Lightweight Directory Access Protocol), hiyerarşik bir dizindeki kullanıcı, grup, bilgisayar ve diğer nesnelere ait kayıtları sorgulamaya ve değiştirmeye yarayan standart bir ağ protokolüdür. Kuruluşlarda merkezi kullanıcı deposu ve kimlik doğrulama için yaygın kullanılır.
Protokol bir sunucu değil, bir iletişim biçimidir. OpenLDAP ve 389 Directory Server gibi yazılımlar LDAP sunucusu olarak çalışır; Microsoft Active Directory de LDAP konuşur.
Nasıl çalışır?
Veriler bir ağaç yapısında tutulur. Her kaydın benzersiz bir adı (DN) vardır, örneğin uid=ayse,ou=kullanicilar,dc=ornek,dc=com. İstemci sunucuya bağlanır (bind), kimliğini doğrular ve filtreyle arama yapar. Uygulamalar kullanıcının parolasını doğrulatmak için “bind” işlemini kullanır.
Standart port 389'dur; şifreli bağlantı için StartTLS veya 636 portundaki LDAPS kullanılır. Şifresiz LDAP'ta parolalar ağda okunabilir; bu nedenle yalnızca şifreli kullanılmalıdır.
Sunucu ve hosting ortamında
Linux sunucularda SSSD ve PAM ile giriş kimlik doğrulaması, e-posta (Dovecot, Exim), VPN, Git ve web uygulamalarının tek kullanıcı deposundan beslenmesi tipik kullanımlardır. Birçok kuruluş SSH girişlerini LDAP gruplarına bağlayarak yetki yönetimini merkezileştirir.
Paylaşımlı hostingde müşterilerin hesapları genellikle LDAP yerine panelin kendi veritabanında tutulur; LDAP daha çok kurum içi altyapıda görülür.
Nasıl korunulur?
- Bağlantıları yalnızca TLS ile yapın; anonim ve şifresiz bağlanmaya izin vermeyin.
- LDAP sunucusunu internete açmayın; güvenlik duvarıyla yalnızca gereken istemcilere izin verin.