Was ist ein Basis-DN?

Ein Basis-Distinguished Name (Base DN) ist der Ausgangspunkt in einer LDAP-Verzeichnisstruktur, von dem aus eine Suche beginnt, und definiert den organisatorischen Geltungsbereich einer Abfrage. Verzeichnis-Clients – darunter auch die LDAP-Authentifizierungsprofile von Versa– kombinieren ihn zur Authentifizierung mit einem Bind-DN und durchsuchen anschließend nur den Teilbaum, auf den der Base DN verweist.

Die wichtigsten Erkenntnisse

• Ein Basis-DN legt fest, an welcher Stelle im LDAP-Verzeichnisbaum eine Suche beginnt.
• Es begrenzt den Geltungsbereich von Abfragen – Einträge darunter sind erreichbar, Einträge außerhalb sind es nicht.
• Basis-DNs befinden sich in der Regel an der Domänenwurzel oder in einer bestimmten Abteilungs-OU.
• LDAP-Authentifizierungsprofile erfordern neben einem Bind-DN auch einen Basis-DN.
• Ein falscher Basis-DN führt dazu, dass die Suche nach Benutzern und Gruppen keine Ergebnisse liefert.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Gängige Basis-DN-Bereiche · Basis-DN & Versa · Häufig gestellte Fragen

Warum ist ein Basis-DN wichtig?

Eine LDAP-Abfrage muss irgendwo beginnen. Ein Verzeichnisbaum kann Tausende von Benutzern, Gruppen und Dienstkonten enthalten, die über viele Organisationseinheiten verteilt sind, und ohne einen definierten Startpunkt hat eine Suche entweder gar keinen Umfang oder erstreckt sich standardmäßig auf den gesamten Baum. Der Basis-DN sorgt hier für Abhilfe: Er teilt dem Verzeichnisserver genau mit, welchen Zweig des Baums eine Suche durchlaufen darf.

Diese Eingrenzung ist aus zwei praktischen Gründen wichtig. Der eine Grund ist die Leistung – eine Suche, die auf eine kleine Organisationseinheit (OU) beschränkt ist, liefert schneller Ergebnisse als eine Suche, die die gesamte Domäne durchläuft. Der andere Grund ist die Sicherheit: Durch die Eingrenzung eines Basis-DN auf nur die Organisationseinheiten, die eine Anwendung tatsächlich benötigt, wird der Umfang der Verzeichnisabfragen dieser Anwendung eingeschränkt, noch bevor eine Zugriffskontrollliste angewendet wird.

Für Administratoren, die Probleme bei der Authentifizierung beheben, ist der Basis-DN in der Regel der erste Punkt, den es zu überprüfen gilt. Wenn eine verzeichnisgestützte Anmeldung fehlschlägt oder eine Gruppenliste leer zurückgegeben wird, ist ein falsch definierter Basis-DN – der auf die falsche Organisationseinheit verweist oder bei dem ein verschachtelter Container fehlt – eine der häufigsten Ursachen.

Was ist ein Basis-DN?

Ein Basis-DN wird in der Standard-LDAP-Syntax für Distinguished Names geschrieben: eine geordnete, durch Kommas getrennte Kette von Attribut-Wert-Paaren, die vom spezifischsten zum am wenigsten spezifischen gelesen wird und am Verzeichnisstamm endet. Ein Basis-DN für den Domänenstamm für versanetworks.com sieht aus wie DC=versanetworks,DC=com. Ein auf eine Organisationseinheit eingeschränkter Basis-DN sieht wie folgt aus: OU=Engineering,DC=versanetworks,DC=com.

Zum Zeitpunkt der Abfrage kombiniert ein Client den Basis-DN mit einem Suchfilter (welche Attribute übereinstimmen sollen) und einem Suchbereich – Basis, eine Ebene oder Unterbaum –, um genau zu definieren, welche Einträge eine Abfrage zurückgeben kann. Der Basis-DN beantwortet die Frage „Wo fange ich an?“, während der Filter und der Suchbereich die Frage „Wie weit suche ich und wonach?“ beantworten.

Administratoren rufen den Basis-DN einer Domäne in der Regel direkt aus Active Directory ab, wobei sie Tools wie „Active Directory-Benutzer und -Computer“ (ADUC) oder die Befehlszeile verwenden. dsquery Dienstprogramm, anstatt die DN-Struktur der Domäne zu erraten.

Gemeinsame Basis-DN-Bereiche

Domänenstamm. Der umfassendste und gängigste Anwendungsbereich: DC=versanetworks,DC=com. Eine von hier aus gestartete Suche kann grundsätzlich jeden Benutzer und jede Gruppe in der Domäne erfassen, vorbehaltlich der Berechtigungen des abfragenden Kontos.

Gilt für die Organisationseinheit. Einschränkung des Basis-DN auf eine bestimmte Organisationseinheit, wie beispielsweise OU=Engineering,DC=versanetworks,DC=com, beschränkt die Suche auf diesen Container und alle darunter liegenden Elemente. Dies ist häufig der Fall, wenn eine Anwendung – beispielsweise ein LDAP-Authentifizierungsprofil – ausschließlich die Benutzer einer bestimmten Abteilung authentifizieren soll.

Gültigkeitsbereich „Nested-Container“. In einigen AD-Umgebungen werden Dienst- oder Benutzerkonten in integrierten Containern abgelegt, wie zum Beispiel CN=Users, anstatt auf eine benutzerdefinierte Organisationseinheit. Ein Basis-DN kann allerdings auch auf diese Container verweisen, CN= und OU= verhalten sich in AD-Tools unterschiedlich und sind nicht austauschbar.

Die Wahl des Anwendungsbereichs ist ein Abwägungsprozess: Breitere Anwendungsbereiche erfordern weniger Wartungsaufwand, wenn das Verzeichnis wächst, während engere Anwendungsbereiche das Risiko und das Abfragevolumen begrenzen.

Basis-DN & Versa

VersaDas SSE-Gateway verwendet LDAP-basierte Authentifizierungsprofile, um Benutzer anhand von Active Directory- oder Open-LDAP-Servern zu validieren. Diese Profile werden unter „Konfigurieren > Security Service Edge > Benutzer- und Geräteauthentifizierung > Profile“ konfiguriert. Das Feld „Basis-DN“ ist in diesem Profil ein Pflichtfeld, das zusammen mit dem „Bind-DN“, dem „Bind-Passwort“ und dem „Domänennamen“ eingegeben wird. Es legt fest, welchen Teil des Verzeichnisses das Gateway bei der Validierung eines Benutzers oder bei der Ermittlung der Gruppenmitgliedschaft zur Durchsetzung von Richtlinien durchsuchen darf.

Um Administratoren bei der Suche nach dem richtigen Wert zu unterstützen, bietet die Schritt-für-Schritt-Anleitung zur Konfiguration enthält einen Anhang zur Ermittlung des Basis-DN einer Domäne mithilfe von dsquery * domainroot -scope base auf dem AD-Server sowie Anleitungen dazu, wie man den Umfang auf eine bestimmte Organisationseinheit (OU) einschränken kann, wenn keine vollständige Sichtbarkeit der gesamten Domäne gewünscht ist.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem Basis-DN und einem Bind-DN?

Ein Basis-DN legt fest, wo eine Verzeichnissuche beginnt und welchen Teil der Baumstruktur sie einsehen kann. Ein Bind-DN ist die Identität des Dienstkontos, mit der sich ein Client authentifiziert, bevor er überhaupt suchen darf. Ein LDAP-Profil benötigt beides: den Bind-DN zum Anmelden und den Basis-DN, um zu wissen, wo gesucht werden soll.

Wie finde ich meinen Basis-DN in Active Directory?

Die gängigste Methode ist eine Domain-Root-Abfrage: Führen Sie folgenden Befehl aus: dsquery * domainroot -scope base auf dem AD-Server, der den Stamm-DN der Domäne zurückgibt, zum Beispiel DC=versanetworks,DC=com. Auch „Active Directory-Benutzer und -Computer“ (ADUC) zeigt den Domänennamen an, der sich direkt in das DN-Format umwandeln lässt.

Kann ein Basis-DN auf einen engeren Bereich als die Domänenwurzel beschränkt werden?

Ja. Ein Basis-DN kann auf eine bestimmte Organisationseinheit verweisen, wie zum Beispiel OU=Engineering,DC=versanetworks,DC=com, wodurch die Suche auf diese Organisationseinheit und alle darunter verschachtelten Container beschränkt wird. Dies ist eine gängige Methode, um einzuschränken, welche Benutzer ein bestimmtes Authentifizierungsprofil abfragen und authentifizieren kann.

Was passiert, wenn der Basis-DN in einem Authentifizierungsprofil falsch ist?

Verzeichnissuchen, deren Geltungsbereich auf den falschen Zweig beschränkt ist, liefern keine passenden Einträge, selbst wenn die Zielbenutzer oder -gruppen an anderer Stelle in der Struktur vorhanden sind. Zu den Symptomen zählen fehlgeschlagene Anmeldungen, leere Benutzer- oder Gruppenlisten in Richtlinienregeln sowie eine Authentifizierung, die scheinbar falsch konfiguriert ist, in Wirklichkeit jedoch auf ein Problem mit dem Geltungsbereich zurückzuführen ist.

Ist für jede LDAP-Authentifizierungsmethode ein Basis-DN erforderlich?

Ja, bei jeder Authentifizierungsmethode, die einen Verzeichnisserver abfragt – LDAP gegen Open-LDAP oder Active Directory –, ist ein Basis-DN ein Pflichtfeld. Bei Methoden ohne Verzeichnis, wie beispielsweise der zertifikatsbasierten oder der rein lokalen Authentifizierung, wird überhaupt kein Basis-DN verwendet.

Mehr zum Basis-DN

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit dem Basis-DN beschäftigen, sollten Sie sich als Nächstes diese Informationen ansehen.