Qu'est-ce qu'un DN de base ?

Un nom distinctif de base (Base DN) correspond au point de départ, dans une arborescence d'annuaire LDAP, à partir duquel une recherche commence ; il définit le périmètre organisationnel d'une requête. Les clients d'annuaire – y compris les profils d'authentification LDAP d'Versa– l'associent à un nom distinctif de liaison (Bind DN) pour s'authentifier, puis effectuent la recherche uniquement dans la sous-arborescence désignée par le Base DN.

Points clés à retenir

• Un DN de base définit l'emplacement dans l'arborescence du répertoire LDAP à partir duquel une recherche commence.
• Il définit le champ d'application des requêtes : les entrées situées en dessous sont accessibles, celles situées en dehors ne le sont pas.
• Les DN de base se trouvent généralement à la racine du domaine ou dans une unité organisationnelle (OU) dédiée à un service spécifique.
• Les profils d'authentification LDAP nécessitent un DN de base ainsi qu'un DN de liaison.
• Si le DN de base est incorrect, les requêtes de recherche d'utilisateurs et de groupes ne renvoient aucun résultat.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Portées courantes du DN de base · DN de base et Versa · FAQ

Pourquoi le DN de base est-il important ?

Une requête LDAP doit bien commencer quelque part. Une arborescence d'annuaire peut contenir des milliers d'utilisateurs, de groupes et de comptes de service répartis dans de nombreuses unités organisationnelles ; sans point de départ défini, une recherche n'a alors aucune portée ou porte par défaut sur l'ensemble de l'arborescence. C'est le DN de base qui permet de remédier à cela : il indique précisément au serveur d'annuaire quelle branche de l'arborescence la recherche est autorisée à parcourir.

La définition de la portée est importante pour deux raisons pratiques. La première concerne les performances : une recherche centrée sur une unité d’organisation (OU) restreinte renvoie des résultats plus rapidement qu’une recherche parcourant l’ensemble du domaine. La seconde concerne la sécurité : en limitant le DN de base aux seules unités d’organisation dont une application a réellement besoin, on restreint la visibilité des requêtes d’annuaire de cette application, avant même l’application d’une liste de contrôle d’accès.

Pour les administrateurs chargés de résoudre les problèmes d'authentification, le DN de base est généralement le premier élément à vérifier. Si une connexion via l'annuaire échoue ou si la liste des groupes est vide, l'une des causes les plus courantes est un DN de base mal défini : il peut pointer vers une unité d'organisation (OU) incorrecte ou omettre un conteneur imbriqué.

Qu'est-ce qu'un DN de base ?

Un DN de base est écrit selon la syntaxe standard des noms distinctifs LDAP : une chaîne ordonnée de paires attribut=valeur, séparées par des virgules, lues de la plus spécifique à la moins spécifique, et se terminant à la racine du répertoire. Un DN de base de racine de domaine pour versanetworks.com on dirait que DC=versanetworks,DC=com. Un DN de base limité à une seule unité organisationnelle se présente comme suit : OU=Engineering,DC=versanetworks,DC=com.

Au moment de la requête, un client associe le DN de base à un filtre de recherche (les attributs à faire correspondre) et à une portée de recherche – base, un niveau ou sous-arbre – afin de définir précisément quelles entrées une requête peut renvoyer. Le DN de base répond à la question « par où commencer » ; le filtre et la portée répondent aux questions « jusqu’où chercher, et quoi chercher ».

Les administrateurs récupèrent généralement le DN de base d'un domaine directement depuis Active Directory, à l'aide d'outils tels que « Utilisateurs et ordinateurs Active Directory » (ADUC) ou la ligne de commande. dsquery utilitaire, plutôt que d'essayer de deviner la structure DN du domaine.

Domaines de DN de base courants

Racine du domaine. Le champ d'application le plus large et le plus courant : DC=versanetworks,DC=com. Une recherche lancée à partir d'ici peut, en principe, porter sur tous les utilisateurs et groupes du domaine, sous réserve des autorisations dont dispose le compte effectuant la requête.

Portée : unité organisationnelle. Limiter le DN de base à une unité d'organisation (OU) spécifique, telle que OU=Engineering,DC=versanetworks,DC=com, limite la recherche à ce conteneur et à tous les éléments qui s'y trouvent. C'est souvent le cas lorsqu'une application – un profil d'authentification LDAP, par exemple – ne doit authentifier que les utilisateurs d'un seul service.

Portée des conteneurs imbriqués. Dans certains environnements AD, les comptes de service ou d'utilisateur sont placés dans des conteneurs intégrés, tels que CN=Users, plutôt qu’une unité d’organisation personnalisée. Un DN de base peut également pointer vers ces conteneurs, bien que CN= et OU= se comportent différemment dans les outils AD et ne sont pas interchangeables.

Le choix du champ d'application relève d'un compromis : les champs d'application plus larges nécessitent moins de maintenance à mesure que le répertoire s'étoffe, tandis que les champs d'application plus restreints limitent l'exposition et le volume des requêtes.

DN de base & Versa

VersaLa passerelle SSE utilise des profils d’authentification basés sur LDAP pour valider les utilisateurs par rapport à des serveurs Active Directory ou Open-LDAP, configurés sous « Configurer > Security Service Edge > Authentification des utilisateurs et des périphériques > Profils ». Le DN de base est un champ obligatoire dans ce profil ; il doit être renseigné avec le DN de liaison, le mot de passe de liaison et le nom de domaine. Il détermine la partie du répertoire que la passerelle est autorisée à parcourir lors de la validation d’un utilisateur ou de la détermination de l’appartenance à un groupe en vue de l’application des politiques.

Pour aider les administrateurs à trouver la valeur appropriée, le guide de configuration étape par étape comprend une annexe expliquant comment déterminer le DN de base d'un domaine à l'aide de dsquery * domainroot -scope base sur le serveur AD, ainsi que des conseils pour limiter cette visibilité à une unité d'organisation (OU) spécifique lorsque l'on ne souhaite pas avoir une visibilité sur l'ensemble du domaine.

Questions fréquentes

Quelle est la différence entre un DN de base et un DN de liaison ?

Un DN de base définit le point de départ d'une recherche dans l'annuaire et la partie de l'arborescence accessible. Un DN de liaison correspond à l'identité du compte de service sous laquelle un client s'authentifie avant d'être autorisé à effectuer une recherche. Un profil LDAP nécessite ces deux éléments : le DN de liaison pour se connecter, et le DN de base pour savoir où effectuer la recherche.

Comment puis-je trouver mon DN de base dans Active Directory ?

La méthode la plus courante consiste à effectuer une requête sur la racine du domaine : exécutez dsquery * domainroot -scope base sur le serveur AD, qui renvoie le DN racine du domaine, tel que DC=versanetworks,DC=com. L'outil « Utilisateurs et ordinateurs Active Directory » (ADUC) affiche également le nom de domaine, qui se convertit directement au format DN.

Le DN de base peut-il être limité à un périmètre plus restreint que la racine du domaine ?

Oui. Un DN de base peut désigner une unité organisationnelle spécifique, telle que OU=Engineering,DC=versanetworks,DC=com, ce qui limite la recherche à cette unité organisationnelle (OU) et à tous les conteneurs qui lui sont subordonnés. Il s'agit d'une méthode courante pour restreindre les utilisateurs qu'un profil d'authentification donné est autorisé à interroger et à authentifier.

Que se passe-t-il si le DN de base d'un profil d'authentification est incorrect ?

Les recherches dans l'annuaire limitées à une branche incorrecte ne renvoient aucune entrée correspondante, même si les utilisateurs ou groupes cibles existent ailleurs dans l'arborescence. Parmi les symptômes, on peut citer les échecs de connexion, les listes d'utilisateurs ou de groupes vides dans les règles de stratégie, ainsi qu'une authentification qui semble mal configurée mais qui est en réalité due à un problème de périmètre.

Un DN de base est-il obligatoire pour chaque méthode d'authentification LDAP ?

Oui, pour toute méthode d'authentification qui interroge un serveur d'annuaire (LDAP via Open-LDAP ou Active Directory), le DN de base est un champ obligatoire. Les méthodes ne faisant pas appel à un annuaire, telles que l'authentification par certificat ou l'authentification purement locale, n'utilisent pas du tout de DN de base.

En savoir plus sur le DN de base

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous renseignez sur le DN de base, voici quelques liens qui pourraient vous intéresser.