¿Qué es un nombre distintivo?

Un nombre distinguido (DN) es el identificador único y jerárquico de una entrada concreta en un árbol de directorios LDAP o del campo «sujeto» de un certificado X.509. Formado por una secuencia ordenada de componentes relativos —como el nombre común, la unidad organizativa y el componente de dominio—, un DN identifica de forma inequívoca y sin ambigüedades a un único objeto dentro de su directorio o del espacio de nombres del certificado.

Puntos clave

• Un DN identifica de forma única una entrada en un directorio LDAP o en un certificado.
• Las DN se construyen a partir de componentes ordenados, como CN, OU y DC.
• El DN de enlace y el DN base son dos usos específicos de un DN en LDAP.
• Versa Los dispositivos utilizan un DN de Bind para autenticarse en los servidores de directorio.
• La unicidad de un DN permite que los directorios resuelvan exactamente un objeto que coincida.

En esta página: Por qué es importante · Cómo funciona · Tipos · DN y Versa · Preguntas frecuentes

¿Por qué es importante un DN?

Cada entrada de un directorio LDAP —ya sea un usuario, un grupo o una cuenta de servicio— necesita una dirección que no comparta con ninguna otra entrada. Un «nombre distinguido» (DN) es esa dirección: una cadena única que identifica a un objeto de forma inequívoca en cualquier parte del árbol. Sin los DN, los directorios y las aplicaciones que los consultan no disponen de una forma fiable de especificar a qué objeto se refiere una solicitud.

Los DN también son importantes más allá de los directorios. Los certificados X.509 incluyen un DN de sujeto que identifica a quién pertenece el certificado y un DN de emisor que indica la autoridad de certificación que lo ha firmado. Las aplicaciones de validación comparan el DN de sujeto, o un componente como el «nombre común», con la identidad que esperan encontrar.

Para los equipos de redes y seguridad, los DN son elementos operativos: la corrección de un perfil de autenticación LDAP depende exclusivamente de la exactitud del DN de enlace (Bind DN) y del DN base (Base DN) introducidos en él, y un error al escribir un DN es una causa habitual de fallos en la autenticación del directorio.

¿Qué es un DN?

Un DN es una secuencia de nombres distintivos relativos (RDN) separados por comas, cada uno de los cuales es un par «atributo=valor». Un DN LDAP típico tiene el siguiente aspecto: CN=jdoe,OU=Engineering,DC=example,DC=com: un usuario (CN=jdoe) dentro de una unidad organizativa perteneciente a un dominio. Cada RDN reduce el ámbito hasta que solo queda una entrada.

Entre los tipos de atributos más comunes se incluyen CN (Nombre común), OU (Unidad organizativa), O (Organización), DC (Componente de dominio), y C (País). Esos mismos elementos constitutivos dan nombre a los titulares y emisores de los certificados X.509, aunque los certificados suelen ir acompañados de O y C con CN en lugar de la DC cadena típica de Active Directory.

En la configuración del directorio aparecen dos DN: el DN base, desde donde comienza la búsqueda, y el DN de enlace, la identidad con la que un cliente se autentica antes de poder realizar una búsqueda. Ninguno de los dos es opcional: toda consulta LDAP necesita ambos.

Tipos de DN

No todos los DN desempeñan la misma función. El DN base establece la raíz de una búsqueda en el directorio: todo lo que se encuentra por debajo de él está dentro del ámbito de búsqueda, mientras que todo lo que está fuera de él queda fuera. El DN de enlace identifica la cuenta con la que se autentica un cliente; va asociado a una contraseña de enlace y debe resolverse en una entrada real del directorio con permiso de consulta. El DN de sujeto, en los certificados X.509, designa a la entidad a la que se ha expedido el certificado. El DN de emisor designa a la autoridad de certificación que lo ha firmado.

A Nombre relativo distintivo (RDN) es el elemento básico más pequeño: un par atributo=valor, como por ejemplo CN=jdoe. Un DN completo es una cadena ordenada de RDN que va desde la entrada de destino hasta la raíz del árbol. En ocasiones, los administradores limitan el ámbito de un DN base a una unidad organizativa en lugar de a la raíz del dominio, con el fin de restringir el acceso de un perfil.

DN y Versa

VersaSSE Gateway de utiliza una tecnología basada en LDAP perfiles de autenticación para validar a los usuarios mediante Active Directory u Open-LDAP; tanto el DN base como el DN de enlace son campos obligatorios. El DN de enlace es el DN de la cuenta de servicio; por ejemplo, cn=Administrator,cn=users,dc=versa,dc=com – que utiliza la pasarela para conectarse al directorio y realizar consultas en él. El DN base establece el punto del árbol del directorio desde el que comienzan las búsquedas; normalmente, es la raíz del dominio o una unidad organizativa.

Los administradores suelen obtener ambos valores de Active Directory mediante herramientas como dsquery – véase el Guía de configuración paso a paso para consultar el procedimiento completo. Los perfiles basados en certificados utilizan los DN de forma diferente: el DN del sujeto del certificado del cliente, que a menudo es simplemente su «nombre común», se compara con la identidad que espera el « Versa ».

Preguntas frecuentes

¿Cuál es la diferencia entre un DN base y un DN de enlace?

Un DN base establece el punto de partida para las búsquedas en el directorio: el ámbito del árbol al que puede acceder una consulta. Un DN de enlace es la identidad de la cuenta con la que un cliente se autentica antes de poder realizar una búsqueda. Un perfil necesita ambos: el DN de enlace para iniciar sesión y el DN base para saber dónde buscar.

¿Qué aspecto tiene un DN?

Un DN es una cadena de pares «atributo=valor» separados por comas, en la que el más específico aparece en primer lugar: CN=jdoe,OU=Engineering,DC=example,DC=com. Cada segmento es un nombre relativo distintivo (RDN) que delimita el ámbito, desde una entrada individual hasta la unidad organizativa y el dominio que la contienen en el árbol.

¿Es lo mismo un DN que un nombre común?

No. Un «nombre común» (CN) es un atributo dentro de un DN; suele ser el nombre que se muestra de una entrada o la identidad del sujeto de un certificado. El DN es la ruta completa, que combina el CN con otros atributos, como la unidad organizativa y el componente de dominio, para localizar de forma única la entrada.

¿Pueden dos entradas de directorio compartir el mismo DN?

No: la singularidad es precisamente la esencia de un DN. Los servidores de directorio se encargan de garantizarla: no puede haber dos entradas en el mismo árbol que se resuelvan en un Nombre Distinguido idéntico, y eso es lo que permite que un DN sirva como referencia fiable e inequívoca para la autenticación y las búsquedas.

¿Por qué es necesario que un perfil de autenticación LDAP incluya un DN?

Porque LDAP no dispone de otra forma de identificar un objeto concreto del directorio. El DN de enlace indica al servidor quién se está conectando; el DN base le indica dónde debe buscar. Sin los DN correctos, un perfil de autenticación no puede localizar la cuenta del directorio que necesita para validar.

Más información sobre los nombres distinguidos

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre los DN, te recomiendo que eches un vistazo a esto a continuación.