Un DN de enlace (Bind Distinguished Name) es el nombre distinguido de la cuenta de servicio que un cliente LDAP presenta a un servidor de directorio durante la operación de enlace, es decir, el paso mediante el cual se autentica al cliente antes de que pueda buscar usuarios y grupos en el directorio.
Puntos clave
- Un DN de enlace identifica la cuenta de servicio con la que se autentica un cliente LDAP.
- Se combina con una contraseña de enlace para completar la operación de enlace LDAP.
- Anónimo, sencillo y los enlaces SASL demuestran la identidad de diferentes maneras.
- Versa utiliza el DN de enlace para buscar usuarios y grupos en Active Directory.
- Una cuenta de Bind DN comprometida puede dejar al descubierto todo el árbol de directorios.
En esta página: Por qué es importanteCómo funcionaTiposAsignar DN y VersaPreguntas frecuentes
¿Por qué es importante un DN de enlace?
Los servidores de directorio almacenan los datos de identidad que utilizan los sistemas posteriores para tomar decisiones de acceso. Antes de que se puedan leer esos datos, el sistema que realiza la consulta debe demostrar su identidad; eso es precisamente lo que hace el DN de Bind: identifica la cuenta de servicio con la que se autentifica la conexión, y todo lo que se le permite ver a partir de ese momento se limita a los permisos de dicha cuenta.
Si se introduce mal, la autenticación falla directamente, pero si se introduce bien de forma descuidada, las consecuencias son menos evidentes. Un DN de enlace con derechos de administrador de dominio puede leer, y en ocasiones escribir, en una parte mucho mayor del directorio de la que necesita una pasarela solo para autenticar a los usuarios, por lo que un atacante que recupere esas credenciales hereda ese acceso. Una cuenta de servicio con privilegios mínimos, combinada con SSL/TLS en lugar de un enlace en texto plano, evita que la autenticación rutinaria se convierta en una exposición de todo el directorio.
¿Qué es un DN de enlace?
Un nombre distinguido (DN) es la ruta completa a una entrada en un árbol de directorios LDAP, formada por componentes como el nombre común (CN), la unidad organizativa (OU) y el componente de dominio (DC), leídos en sentido ascendente hasta la raíz del dominio. Un DN de enlace es el DN de la cuenta utilizada para iniciar una sesión LDAP autenticada: cn=Administrator,cn=Users,dc=versa,dc=com identifica la cuenta de administrador dentro del contenedor «Usuarios».
La operación «bind» es un verbo del protocolo LDAP: el cliente envía el DN de enlace y una contraseña, y el servidor realiza la autenticación antes de permitir que la conexión continúe. Cada búsqueda realizada a través de esa conexión se ejecuta con los permisos de esa cuenta, limitados al ámbito que defina el DN base. Un DN de enlace es distinto de un DN base —que marca el punto de partida de las búsquedas, más que quién las realiza— y de un nombre común, un componente que puede aparecer dentro de un DN.
Tipos de conexiones LDAP
LDAP define tres formas de realizar un enlace (bind), que se diferencian en el nivel de seguridad con el que se verifica la identidad. El enlace anónimo no envía credenciales; los directorios de producción suelen desactivarlo. El enlace simple —el modo que utilizan la mayoría de los perfiles de autenticación— envía el DN de enlace y la contraseña en texto plano, por lo que debe ejecutarse a través de LDAPS o STARTTLS. El enlace SASL delega la autenticación a un mecanismo como Kerberos (GSSAPI) o DIGEST-MD5, lo que permite demostrar la identidad sin enviar la contraseña propiamente dicha.
La mayoría de las integraciones empresariales utilizan el modo «simple bind» con SSL activado: es fácil de configurar y el protocolo TLS subsana la vulnerabilidad que supone el envío de credenciales en texto plano que deja sin resolver el modo «simple bind» sin cifrar.
Asignar DN y Versa
Versa Los perfiles de autenticación LDAP y Active Directory de SSE Gateway requieren un DN de enlace y una contraseña de enlace como campos obligatorios, además del DN base y el nombre de dominio. La pasarela utiliza el DN de enlace del perfil para abrir una sesión autenticada con el servidor de AD y, a continuación, realiza una búsqueda en el DN base para validar al usuario y recuperar la pertenencia a grupos. Consulte «Configuración de perfiles de autenticación en SSE Gateway» para ver la tabla completa de parámetros de los perfiles.
Encontrar el DN de enlace adecuado para una cuenta de servicio de AD es un paso habitual en la configuración. El Configuración paso a paso: perfiles de autenticación en las pasarelas SSE En el apéndice de la guía se explica cómo localizarlo mediante «Usuarios y equipos de Active Directory» o el dsquery user comando.
Preguntas frecuentes
¿Cuál es la diferencia entre un DN de enlace y un DN base?
El DN de enlace identifica la cuenta de servicio que se autentica en el directorio; el DN base identifica el punto del árbol en el que comienzan las búsquedas de dicha cuenta. Un DN de enlace podría ser cn=Administrator,cn=Users,dc=versa,dc=com, mientras que un DN base como, por ejemplo, dc=versa,dc=com limita cada búsqueda a todo el dominio.
¿El DN de enlace necesita privilegios de administrador?
No, solo necesita acceso de lectura suficiente a los usuarios y grupos que consulta el perfil de autenticación, no derechos administrativos completos sobre el directorio. Una cuenta de servicio con privilegios mínimos, en lugar de un administrador de dominio, limita lo que un atacante podría obtener si alguna vez se filtrara la contraseña del DN de Bind.
¿Qué ocurre si el DN de enlace o la contraseña son incorrectos?
La operación de enlace falla por completo y el servidor de directorios rechaza la conexión, por lo que no se puede realizar ninguna búsqueda: se deniega el acceso a todos los usuarios que se autentiquen a través de ese perfil, no solo a aquellos específicos que la cuenta mal configurada no habría podido encontrar en otras circunstancias.
¿Se puede ejecutar la autenticación Bind DN sin cifrado?
Técnicamente sí, utilizando un «bind» simple a través de LDAP en texto plano, pero eso hace que la contraseña del DN de enlace se transmita por la red sin cifrar. En las implementaciones en producción se debería habilitar SSL/TLS —LDAPS o STARTTLS— para que las credenciales de enlace permanezcan protegidas durante la transmisión, y no solo las consultas al directorio que se realizan a continuación.
¿Cómo puedo averiguar el DN de enlace de una cuenta de servicio de Active Directory?
Correr dsquery user -name <account> en el servidor AD, que devuelve el nombre distinguido completo de la cuenta; por ejemplo, cn=admin,cn=Users,dc=versanetworks,dc=com. La herramienta «Usuarios y equipos de Active Directory» muestra esa misma ruta de forma gráfica, lo que te permite navegar hasta el contenedor de la cuenta y copiar su DN directamente.
Más información sobre Bind DN
Si quieres saber más, estas son algunas fuentes en las que confiamos.
| IETF RFC 4513: Métodos de autenticación y mecanismos de seguridad de LDAP | IETF RFC 4514: Representación en forma de cadena LDAP de los nombres distinguidos |
|---|---|
| La especificación en fase de normalización que define el enlace anónimo, el enlace simple y el enlace SASL: los mecanismos que utiliza un cliente para autenticarse con un DN de enlace. | La gramática formal para escribir un nombre distinguido como cadena de caracteres, que describe cómo se combinan componentes como CN, OU y DC. |
Términos relacionados
Si estás leyendo sobre Bind DN, te conviene echar un vistazo a lo siguiente.
| Nombre distintivo | Nombre distintivo de la base | Nombre común |
|---|---|---|
| El nombre jerárquico único que identifica una entrada LDAP o el sujeto de un certificado; un «Bind DN» es un ejemplo de DN. | El punto de partida en el árbol de directorios desde el que comienza una búsqueda LDAP, configurado junto con el DN de enlace en un perfil de autenticación. | El certificado o el atributo DN que contiene la identidad de un host o de un usuario, y uno de los componentes que pueden formar parte de un DN. |