Un nombre distintivo base (Base DN) es el punto de partida en un árbol de directorio LDAP desde el que se inicia una búsqueda, y define el ámbito organizativo de una consulta. Los clientes de directorio —incluidos los perfiles de autenticación LDAP de Versa— lo combinan con un DN de enlace (Bind DN) para autenticarse y, a continuación, realizan la búsqueda únicamente en el subárbol que designa el Base DN.
Puntos clave
- Un DN base establece en qué punto del árbol del directorio LDAP comienza una búsqueda.
- Delimita el ámbito de las consultas: se puede acceder a las entradas que se encuentran por debajo, pero no a las que están fuera.
- Los DN base suelen encontrarse en la raíz del dominio o en una unidad organizativa (OU) de un departamento concreto.
- Los perfiles de autenticación LDAP requieren un DN base junto con un DN de enlace.
- Si el DN base es incorrecto, las consultas de usuarios y grupos no devuelven ningún resultado.
En esta página: Por qué es importanteCómo funcionaÁmbitos de DN base comunesDN base y VersaPreguntas frecuentes
¿Por qué es importante un DN base?
Una consulta LDAP tiene que empezar por algún sitio. Un árbol de directorios puede contener miles de usuarios, grupos y cuentas de servicio repartidos por numerosas unidades organizativas, y sin un punto de partida definido, una búsqueda o bien carece por completo de ámbito, o bien se aplica por defecto a todo el árbol. El DN base es lo que soluciona esto: indica al servidor de directorios exactamente por qué rama del árbol se permite que se desarrolle la búsqueda.
La definición del ámbito es importante por dos razones prácticas. La primera es el rendimiento: una búsqueda centrada en una unidad organizativa (OU) concreta ofrece resultados más rápidos que una que recorre todo el dominio. La segunda es la seguridad: limitar el DN base únicamente a las unidades organizativas que una aplicación necesita realmente restringe lo que pueden ver las consultas de directorio de dicha aplicación, incluso antes de que se aplique ninguna lista de control de acceso.
Para los administradores que resuelven problemas de autenticación, el DN base suele ser lo primero que hay que comprobar. Si falla un inicio de sesión basado en el directorio o si la lista de grupos aparece vacía, una de las causas más habituales es un DN base con un ámbito incorrecto, es decir, que apunte a una unidad organizativa (OU) equivocada o al que le falte un contenedor anidado.
¿Qué es un DN base?
Un DN base se escribe siguiendo la sintaxis estándar de los nombres distinguidos (DN) de LDAP: una cadena ordenada de pares «atributo=valor», separados por comas, que se lee de lo más específico a lo menos específico y que termina en la raíz del directorio. Un DN base de raíz de dominio para versanetworks.com parece que DC=versanetworks,DC=com. Un DN base limitado a una unidad organizativa tiene el siguiente aspecto: OU=Engineering,DC=versanetworks,DC=com.
En el momento de la consulta, un cliente combina el DN base con un filtro de búsqueda (qué atributos deben coincidir) y un ámbito de búsqueda —base, de un nivel o subárbol— para definir exactamente qué entradas puede devolver una consulta. El DN base responde a la pregunta «¿por dónde empiezo?», mientras que el filtro y el ámbito responden a «hasta dónde busco y qué busco».
Los administradores suelen obtener el DN base de un dominio directamente de Active Directory, utilizando herramientas como «Usuarios y equipos de Active Directory» (ADUC) o la línea de comandos. dsquery utilidad, en lugar de tener que adivinar la estructura del DN del dominio.
Ámbitos de DN base comunes
Raíz del dominio. El ámbito de aplicación más amplio y habitual: DC=versanetworks,DC=com. Una búsqueda que parta de aquí puede, en principio, abarcar a todos los usuarios y grupos del dominio, siempre que lo permitan los permisos de la propia cuenta que realiza la consulta.
Ámbito de aplicación: unidad organizativa. Limitar el DN base a una unidad organizativa (OU) concreta, como por ejemplo OU=Engineering,DC=versanetworks,DC=com, limita la búsqueda a ese contenedor y a todo lo que se encuentra anidado debajo de él. Esto es habitual cuando una aplicación —por ejemplo, un perfil de autenticación LDAP— solo debe autenticar a los usuarios de un departamento.
Ámbito de contenedor anidado. En algunos entornos de Active Directory, las cuentas de servicio o de usuario se ubican dentro de contenedores integrados, como CN=Users, en lugar de una unidad organizativa personalizada. No obstante, un DN base también puede apuntar a estos contenedores, aunque CN= y OU= se comportan de forma diferente en las herramientas de AD y no son intercambiables.
La elección del ámbito de aplicación supone un equilibrio: los ámbitos más amplios requieren menos mantenimiento a medida que crece el directorio, mientras que los ámbitos más restringidos limitan la exposición y el volumen de consultas.
DN base y Versa
VersaSSE Gateway utiliza perfiles de autenticación basados en LDAP para validar a los usuarios frente a servidores de Active Directory u Open-LDAP, configurados en «Configurar > Security Service Edge > Autenticación de usuarios y dispositivos > Perfiles». El DN base es un campo obligatorio en dicho perfil, que se introduce junto con el DN de enlace, la contraseña de enlace y el nombre de dominio, y determina en qué parte del directorio está autorizada la pasarela a realizar búsquedas al validar a un usuario o al determinar la pertenencia a un grupo para la aplicación de políticas.
Para ayudar a los administradores a encontrar el valor correcto, el Guía de configuración paso a paso incluye un apéndice sobre cómo averiguar el DN base de un dominio utilizando dsquery * domainroot -scope base en el servidor AD, junto con instrucciones sobre cómo limitarlo a una unidad organizativa (OU) concreta cuando no se desee tener visibilidad de todo el dominio.
Preguntas frecuentes
¿Cuál es la diferencia entre un DN base y un DN de enlace?
Un DN base establece dónde comienza una búsqueda en el directorio y qué parte del árbol puede ver. Un DN de enlace es la identidad de la cuenta de servicio con la que un cliente se autentica antes de que se le permita realizar cualquier búsqueda. Un perfil LDAP necesita ambos: el DN de enlace para iniciar sesión y el DN base para saber dónde buscar.
¿Cómo puedo averiguar cuál es mi DN base en Active Directory?
El método más habitual es una consulta de raíz de dominio: ejecuta dsquery * domainroot -scope base en el servidor AD, que devuelve el DN raíz del dominio, como por ejemplo DC=versanetworks,DC=com. La herramienta «Usuarios y equipos de Active Directory» (ADUC) también muestra el nombre de dominio, que se convierte directamente al formato DN.
¿Se puede limitar el ámbito de un DN base a algo más restringido que la raíz del dominio?
Sí. Un DN base puede hacer referencia a una unidad organizativa concreta, como, por ejemplo, OU=Engineering,DC=versanetworks,DC=com, lo que limita la búsqueda a esa unidad organizativa (OU) y a cualquier contenedor anidado debajo de ella. Se trata de una forma habitual de restringir los usuarios a los que un perfil de autenticación determinado puede consultar y autenticar.
¿Qué ocurre si el DN base de un perfil de autenticación es incorrecto?
Las búsquedas en el directorio que se limitan a una rama incorrecta no devuelven ninguna entrada coincidente, aunque los usuarios o grupos de destino existan en otra parte del árbol. Entre los síntomas se incluyen fallos en el inicio de sesión, listas vacías de usuarios o grupos en las reglas de política y una autenticación que parece estar mal configurada, pero que en realidad se debe a un problema de ámbito.
¿Es necesario un DN base para todos los métodos de autenticación LDAP?
Sí, para cualquier método de autenticación que consulte un servidor de directorio —LDAP con Open-LDAP o Active Directory—, el DN base es un campo obligatorio. Los métodos que no utilizan un servidor de directorio, como la autenticación basada en certificados o la autenticación puramente local, no utilizan en absoluto el DN base.
Más información sobre el DN base
Si quieres saber más, estas son algunas fuentes en las que confiamos.
| RFC 4511: LDAP – El protocolo | RFC 4514: Representación en forma de cadena LDAP de los nombres distinguidos |
|---|---|
| La especificación del IETF que define la operación de búsqueda LDAP, incluido el parámetro «baseObject» que proporciona un DN base. | El estándar de la IETF que define la sintaxis de la cadena utilizada para escribir un nombre distinguido (Distinguished Name), incluido un DN base. |
Términos relacionados
Si estás leyendo sobre el DN base, te conviene echar un vistazo a lo siguiente.
| Nombre distintivo | Asignar un nombre distintivo | Perfil de autenticación |
|---|---|---|
| El nombre único y jerárquico que identifica una entrada concreta en un directorio; un DN base define el subárbol que una búsqueda puede recorrer para encontrarla. | El DN de la cuenta de servicio con el que un cliente LDAP se autentica antes de realizar la búsqueda; Versa lo combina con el DN base para buscar usuarios y grupos. | El objeto de configuración « Versa » —ya sea LDAP, SAML o basado en certificados— que define cómo se autentican los usuarios; los perfiles LDAP requieren un DN base. |