Was ist ein Distinguished Name?

Ein Distinguished Name (DN) ist die eindeutige, hierarchische Kennung für einen einzelnen Eintrag in einer LDAP-Verzeichnisstruktur oder das Feld „Subject“ eines X.509-Zertifikats. Ein DN setzt sich aus einer geordneten Abfolge relativer Komponenten zusammen – wie beispielsweise dem Common Name, der Organisationseinheit und der Domänenkomponente – und identifiziert innerhalb seines Verzeichnis- oder Zertifikatsnamensraums eindeutig genau ein Objekt.

Die wichtigsten Erkenntnisse

• Ein DN identifiziert eindeutig einen Eintrag in einem LDAP-Verzeichnis oder einem Zertifikat.
• DNs bestehen aus geordneten Komponenten wie CN, OU und DC.
• „Bind-DN“ und „Base-DN“ sind zwei LDAP-spezifische Verwendungszwecke eines DN.
• Versa Geräte verwenden einen Bind-DN zur Authentifizierung bei Verzeichnisservern.
• Die Eindeutigkeit eines DN ermöglicht es Verzeichnissen, genau ein passendes Objekt zu ermitteln.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · DN & Versa · Häufig gestellte Fragen

Warum ist ein DN wichtig?

Jeder Eintrag in einem LDAP-Verzeichnis – sei es ein Benutzer, eine Gruppe oder ein Dienstkonto – benötigt eine Adresse, die kein anderer Eintrag teilt. Ein Distinguished Name (DN) ist diese Adresse: eine einzelne Zeichenfolge, die ein Objekt überall in der Verzeichnisstruktur eindeutig identifiziert. Ohne DNs haben Verzeichnisse und die Anwendungen, die Abfragen an sie richten, keine zuverlässige Möglichkeit, anzugeben, auf welches Objekt sich eine Anfrage bezieht.

DNs spielen nicht nur in Verzeichnissen eine Rolle. X.509-Zertifikate enthalten einen Subject-DN, der angibt, wem das Zertifikat gehört, sowie einen Issuer-DN, der die Zertifizierungsstelle nennt, die es signiert hat. Validierende Anwendungen vergleichen den Subject-DN oder einen Bestandteil davon, wie beispielsweise den Common Name, mit der erwarteten Identität.

Für Netzwerk- und Sicherheitsteams sind DNs von operativer Bedeutung: Ein LDAP-Authentifizierungsprofil ist nur so korrekt wie der darin eingegebene Bind-DN und Base-DN, und ein falsch eingegebener DN ist eine häufige Ursache für fehlgeschlagene Verzeichnisauthentifizierung.

Was ist ein DN?

Ein DN ist eine durch Kommas getrennte Folge von relativen Distinguished Names (RDNs), wobei jedes RDN aus einem Attribut-Wert-Paar besteht. Ein typischer LDAP-DN sieht wie folgt aus: CN=jdoe,OU=Engineering,DC=example,DC=com: ein Benutzer (CN=jdoe) innerhalb einer Organisationseinheit innerhalb einer Domäne. Jeder RDN grenzt den Geltungsbereich ein, bis genau ein Eintrag übrig bleibt.

Zu den gängigen Attributtypen gehören CN (Allgemeiner Name), OU (Organisationseinheit), O (Organisation), DC (Domänenkomponente) und C (Land). Dieselben Bausteine bezeichnen die Zertifikatsinhaber und -aussteller in X.509-Zertifikaten, obwohl Zertifikate häufiger paarweise auftreten O und C mit CN anstatt des DC eine für Active Directory typische Kette.

In der Verzeichniskonfiguration tauchen zwei DNs immer wieder auf: der Basis-DN, bei dem eine Suche beginnt, und der Bind-DN, die Identität, unter der sich ein Client authentifiziert, bevor er eine Suche durchführen kann. Keiner von beiden ist optional – jede LDAP-Abfrage benötigt beide.

Arten von DNs

Nicht jeder DN spielt dieselbe Rolle. Der Basis-DN legt die Wurzel einer Verzeichnissuche fest – alles darunter fällt in den Suchbereich, alles darüber hinaus nicht. Der Bind-DN identifiziert das Konto, unter dem sich ein Client authentifiziert; er ist mit einem Bind-Passwort gekoppelt und muss zu einem echten Verzeichniseintrag mit Abfrageberechtigung aufgelöst werden. Der Subject-DN bezeichnet in X.509-Zertifikaten die Entität, auf die das Zertifikat ausgestellt wurde. Der Issuer-DN bezeichnet die Zertifizierungsstelle, die das Zertifikat signiert hat.

A Relativer Distinguished Name (RDN) ist der kleinste Baustein: ein Attribut-Wert-Paar, wie zum Beispiel CN=jdoe. Ein vollständiger DN ist eine geordnete Kette von RDNs, die vom Zieleintrag bis zur Baumwurzel reicht. Administratoren beschränken den Geltungsbereich eines Basis-DNs manchmal auf eine Organisationseinheit statt auf die Domänenwurzel, um den Sichtbereich eines Profils einzuschränken.

DN & Versa

VersaDas SSE Gateway von … nutzt LDAP-basierte Authentifizierungsprofile um Benutzer anhand von Active Directory oder Open-LDAP zu authentifizieren; dabei sind sowohl der Basis-DN als auch der Bind-DN Pflichtfelder. Der Bind-DN ist der DN des Dienstkontos – zum Beispiel cn=Administrator,cn=users,dc=versa,dc=com – wird vom Gateway verwendet, um eine Verbindung zum Verzeichnis herzustellen und Abfragen daran zu senden. Der Basis-DN legt fest, an welcher Stelle im Verzeichnisbaum die Suche beginnt; in der Regel ist dies die Domänenwurzel oder eine Organisationseinheit.

Administratoren rufen in der Regel beide Werte mit Tools wie […] aus Active Directory ab. dsquery – siehe die Schritt-für-Schritt-Anleitung zur Konfiguration für den vollständigen Ablauf. Zertifikatsbasierte Profile verwenden DNs anders: Die Subject-DN des Client-Zertifikats – oft einfach nur dessen „Common Name“ – wird mit der von Versa erwarteten Identität abgeglichen.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem Basis-DN und einem Bind-DN?

Ein Basis-DN legt den Ausgangspunkt für Verzeichnissuchen fest – also den Bereich des Verzeichnisbaums, den eine Abfrage einsehen kann. Ein Bind-DN ist die Kontoidentität, mit der sich ein Client authentifiziert, bevor er eine Suche durchführen kann. Ein Profil benötigt beides: den Bind-DN zum Anmelden und den Basis-DN, um zu wissen, wo gesucht werden soll.

Wie sieht ein DN aus?

Ein DN ist eine durch Kommas getrennte Folge von Attribut-Wert-Paaren, wobei das spezifischste zuerst steht: CN=jdoe,OU=Engineering,DC=example,DC=com. Jedes Segment ist ein relativer eindeutiger Name (RDN), der den Geltungsbereich eingrenzt – von einem einzelnen Eintrag bis hin zur Organisationseinheit und Domäne, in der er sich in der Baumstruktur befindet.

Ist ein DN dasselbe wie ein Common Name?

Nein. Ein „Common Name“ (CN) ist ein Attribut innerhalb eines DN – in der Regel der Anzeigename eines Eintrags oder die Identität des Zertifikatsinhabers. Der DN ist der vollständige Pfad, der den CN mit anderen Attributen wie der Organisationseinheit und der Domänenkomponente kombiniert, um den Eintrag eindeutig zu lokalisieren.

Können zwei Verzeichniseinträge denselben DN haben?

Nein – die Eindeutigkeit ist der eigentliche Sinn eines DN. Verzeichnisserver stellen dies sicher: Keine zwei Einträge in derselben Baumstruktur dürfen denselben Distinguished Name aufweisen. Dadurch kann ein DN als zuverlässige, eindeutige Referenz für die Authentifizierung und die Suche dienen.

Warum benötigt ein LDAP-Authentifizierungsprofil überhaupt einen DN?

Denn LDAP bietet keine andere Möglichkeit, ein bestimmtes Verzeichnisobjekt zu benennen. Der Bind-DN teilt dem Server mit, wer eine Verbindung herstellt; der Base-DN gibt an, wo gesucht werden soll. Ohne korrekte DNs kann ein Authentifizierungsprofil das Verzeichniskonto, das es überprüfen muss, nicht finden.

Mehr zum Thema „Distinguished Names“

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit DNs beschäftigen, sollten Sie sich diese als Nächstes einmal ansehen.