Was ist ein Bind-DN?

Ein Bind-DN (Bind Distinguished Name) ist der eindeutige Name des Dienstkontos, den ein LDAP-Client während des Bind-Vorgangs einem Verzeichnisserver übermittelt – dabei handelt es sich um den Schritt, bei dem der Client authentifiziert wird, bevor er das Verzeichnis nach Benutzern und Gruppen durchsuchen kann.

Die wichtigsten Erkenntnisse

• Ein Bind-DN identifiziert das Dienstkonto, unter dem sich ein LDAP-Client authentifiziert.
• Es wird mit einem Bind-Passwort kombiniert, um den LDAP-Bind-Vorgang abzuschließen.
• Anonym, einfach und SASL-Bindungen dienen auf unterschiedliche Weise dem Identitätsnachweis.
• Versa verwendet den Bind-DN, um in Active Directory nach Benutzern und Gruppen zu suchen.
• Ein kompromittiertes Bind-DN-Konto kann den gesamten Verzeichnisbaum offenlegen.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · DN binden & Versa · Häufig gestellte Fragen

Warum ist ein Bind-DN wichtig?

Verzeichnisserver speichern die Identitätsdaten, anhand derer nachgelagerte Systeme Zugriffsentscheidungen treffen. Bevor diese Daten gelesen werden können, muss das anfragende System seine Identität nachweisen – genau das leistet der Bind-DN: Er benennt das Dienstkonto, unter dem die Verbindung authentifiziert wird, und alles, was das System anschließend einsehen darf, ist auf die Berechtigungen dieses Kontos beschränkt.

Eine falsche Eingabe führt zu einem sofortigen Fehlschlag der Authentifizierung, während eine unachtsame korrekte Eingabe weniger auffällt. Ein Bind-DN mit Domain-Admin-Rechten kann weitaus mehr Bereiche des Verzeichnisses lesen und manchmal auch schreiben, als ein Gateway allein zur Authentifizierung von Benutzern benötigt. Ein Angreifer, der diese Anmeldedaten abfängt, erhält somit denselben Zugriff. Ein Dienstkonto mit minimalen Berechtigungen, kombiniert mit SSL/TLS anstelle einer Klartext-Bind-Verbindung, verhindert, dass die routinemäßige Authentifizierung zu einer verzeichnisweiten Sicherheitslücke wird.

Was ist ein Bind-DN?

Ein Distinguished Name (DN) ist der vollständige Pfad zu einem Eintrag in einer LDAP-Verzeichnisstruktur, der sich aus Komponenten wie dem Common Name (CN), der Organizational Unit (OU) und der Domain Component (DC) zusammensetzt und von innen nach außen bis zur Domänenwurzel verläuft. Ein Bind-DN ist der DN des Kontos, mit dem eine authentifizierte LDAP-Sitzung eröffnet wird: cn=Administrator,cn=Users,dc=versa,dc=com identifiziert das Administratorkonto innerhalb des „Users“-Containers.

Der Bind-Vorgang ist ein Verb des LDAP-Protokolls – der Client sendet den Bind-DN und ein Passwort, und der Server führt eine Authentifizierung durch, bevor er die Verbindung zulässt. Jede Suche über diese Verbindung wird mit den Berechtigungen dieses Kontos ausgeführt, wobei der Geltungsbereich durch den Base-DN definiert ist. Ein Bind-DN unterscheidet sich von einem Base-DN, der den Startpunkt der Suche angibt und nicht denjenigen, der sie durchführt, sowie von einem Common Name, einer Komponente, die innerhalb eines DN vorkommen kann.

Arten von LDAP-Binds

LDAP definiert drei Möglichkeiten, einen Bind durchzuführen, die sich darin unterscheiden, wie sicher die Identität nachgewiesen wird. Beim anonymen Bind werden keine Anmeldedaten gesendet; in Produktionsverzeichnissen wird diese Option in der Regel deaktiviert. Beim einfachen Bind – dem von den meisten Authentifizierungsprofilen verwendeten Modus – werden der Bind-DN und das Passwort im Klartext gesendet, sodass er über LDAPS oder STARTTLS ausgeführt werden muss. Bei einem SASL-Bind wird die Authentifizierung an einen Mechanismus wie Kerberos (GSSAPI) oder DIGEST-MD5 delegiert, wodurch die Identität nachgewiesen wird, ohne das Passwort selbst zu übermitteln.

Bei den meisten Unternehmensintegrationen wird „Simple Bind“ mit aktiviertem SSL verwendet: Die Konfiguration ist einfach, und TLS schließt die Sicherheitslücke, die bei unverschlüsseltem „Simple Bind“ durch die im Klartext übertragenen Anmeldedaten entsteht.

DN binden & Versa

Versa LDAP- und Active Directory-Authentifizierungsprofile für das SSE-Gateway erfordern neben dem Basis-DN und dem Domänennamen die Felder „Bind-DN“ und „Bind-Passwort“ als Kernfelder. Das Gateway verwendet den Bind-DN des Profils, um eine authentifizierte Sitzung mit dem AD-Server zu öffnen, und führt anschließend eine Suche unter dem Basis-DN durch, um den Benutzer zu validieren und die Gruppenmitgliedschaft abzurufen. Die vollständige Tabelle der Profilparameter finden Sie unter „Konfigurieren von Authentifizierungsprofilen auf dem SSE-Gateway “.

Das Ermitteln der richtigen Bind-DN für ein AD-Dienstkonto ist ein üblicher Schritt bei der Einrichtung. Die Schritt-für-Schritt-Konfiguration: Authentifizierungsprofile auf SSE-Gateways Im Anhang des Handbuchs wird erläutert, wie man es mit „Active Directory-Benutzer und -Computer“ oder dem dsquery user Befehl.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem Bind-DN und einem Base-DN?

Der Bind-DN identifiziert das Dienstkonto, das sich beim Verzeichnis authentifiziert; der Basis-DN gibt an, wo die Suche nach diesem Konto in der Baumstruktur beginnt. Ein Bind-DN könnte beispielsweise lauten cn=Administrator,cn=Users,dc=versa,dc=com, während ein Basis-DN wie beispielsweise dc=versa,dc=com Wendet jede Suche auf die gesamte Domain an.

Benötigt der Bind-DN Administratorrechte?

Nein – es benötigt lediglich ausreichende Lesezugriffsrechte auf die Benutzer und Gruppen, die das Authentifizierungsprofil abfragt, und keine vollständigen Administratorrechte für das Verzeichnis. Ein Dienstkonto mit minimalen Berechtigungen anstelle eines Domänenadministrators schränkt den Nutzen ein, den ein Angreifer daraus ziehen könnte, sollte das Passwort des Bind-DN jemals offengelegt werden.

Was passiert, wenn der Bind-DN oder das Passwort falsch ist?

Der Bind-Vorgang schlägt sofort fehl und der Verzeichnisserver lehnt die Verbindung ab, sodass überhaupt keine Suchvorgänge ausgeführt werden können – jedem Benutzer, der sich über dieses Profil authentifiziert, wird der Zugriff verweigert, nicht nur denjenigen, die das falsch konfigurierte Konto andernfalls nicht hätte finden können.

Kann die Bind-DN-Authentifizierung ohne Verschlüsselung ausgeführt werden?

Technisch gesehen ja, wenn man einen einfachen Bind-Vorgang über unverschlüsseltes LDAP nutzt, aber dabei wird das Passwort des Bind-DN unverschlüsselt über das Netzwerk übertragen. In Produktionsumgebungen sollte stattdessen SSL/TLS – LDAPS oder STARTTLS – aktiviert werden, damit die Anmeldedaten beim Bind-Vorgang geschützt sind und nicht nur die anschließenden Verzeichnisabfragen.

Wie finde ich den Bind-DN für ein Active Directory-Dienstkonto heraus?

Laufen dsquery user -name <account> auf dem AD-Server, der den vollständigen Distinguished Name des Kontos zurückgibt – zum Beispiel cn=admin,cn=Users,dc=versanetworks,dc=com. „Active Directory-Benutzer und -Computer“ zeigt denselben Pfad grafisch an, sodass Sie zum Container des Kontos navigieren und dessen DN direkt kopieren können.

Mehr zum Thema Bind-DN

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über Bind DN informieren, sollten Sie sich als Nächstes diese Artikel ansehen.