Qu'est-ce qu'un DN de liaison ?

Un DN de liaison (Bind Distinguished Name) est le nom distinctif du compte de service qu'un client LDAP présente à un serveur d'annuaire lors de l'opération de liaison – l'étape qui authentifie le client avant qu'il ne puisse rechercher des utilisateurs et des groupes dans l'annuaire.

Points clés à retenir

• Un DN de liaison identifie le compte de service sous lequel un client LDAP s'authentifie.
• Il s'associe à un mot de passe de liaison pour mener à bien l'opération de liaison LDAP.
• Les liaisons anonymes, simples et SASL permettent de prouver l'identité de différentes manières.
• Versa utilise le DN de liaison pour rechercher des utilisateurs et des groupes dans Active Directory.
• Un compte DN Bind compromis peut exposer l'intégralité de l'arborescence du répertoire.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · Lier DN et Versa · FAQ

Pourquoi un DN de liaison est-il important ?

Les serveurs d'annuaire contiennent les données d'identité utilisées par les systèmes en aval pour prendre des décisions d'accès. Avant que ces données puissent être lues, le système qui effectue la requête doit prouver son identité : c'est le rôle du DN Bind. Il désigne le compte de service sous lequel la connexion s'authentifie, et tout ce que ce système est alors autorisé à consulter est limité aux autorisations de ce compte.

Une erreur entraîne un échec immédiat de l'authentification, mais une saisie correcte mais négligente passe plus inaperçue. Un DN Bind disposant de droits d'administrateur de domaine peut lire, et parfois écrire, dans une partie bien plus étendue de l'annuaire que ce dont une passerelle a besoin pour simplement authentifier les utilisateurs ; ainsi, un attaquant qui récupère ces identifiants hérite de cette portée. Un compte de service à privilèges minimaux, associé à SSL/TLS plutôt qu'à une connexion Bind en clair, empêche l'authentification de routine de se transformer en une exposition à l'échelle de l'annuaire.

Qu'est-ce qu'un DN de liaison ?

Un nom distinctif (DN) correspond au chemin d'accès complet vers une entrée dans une arborescence d'annuaire LDAP, constitué d'éléments tels que le nom commun (CN), l'unité organisationnelle (OU) et le composant de domaine (DC), lus en remontant vers la racine du domaine. Un DN de liaison (Bind DN) est le DN du compte utilisé pour ouvrir une session LDAP authentifiée : cn=Administrator,cn=Users,dc=versa,dc=com identifie le compte « Administrateur » au sein du conteneur « Utilisateurs ».

L'opération « bind » est un verbe du protocole LDAP : le client envoie le DN de liaison (Bind DN) et un mot de passe, et le serveur procède à l'authentification avant d'autoriser la connexion. Chaque recherche effectuée sur cette connexion s'exécute avec les autorisations de ce compte, dans les limites définies par le DN de base (Base DN). Un DN de liaison (Bind DN) est distinct d'un DN de base (Base DN), qui détermine le point de départ des recherches plutôt que l'utilisateur qui les effectue, et d'un nom commun (Common Name), qui est l'un des éléments pouvant figurer dans un DN.

Types de liaisons LDAP

Le protocole LDAP définit trois méthodes pour effectuer une connexion (bind), qui diffèrent par leur niveau de sécurité en matière de vérification d’identité. La connexion anonyme n’envoie aucune information d’identification ; elle est généralement désactivée dans les annuaires de production. La connexion simple – le mode utilisé par la plupart des profils d’authentification – envoie le DN de connexion et le mot de passe en clair ; elle doit donc s’effectuer via LDAPS ou STARTTLS. La liaison SASL délègue l’authentification à un mécanisme tel que Kerberos (GSSAPI) ou DIGEST-MD5, qui prouve l’identité sans envoyer le mot de passe lui-même.

La plupart des intégrations d'entreprise utilisent le protocole « simple bind » avec SSL activé : cela est facile à configurer, et le protocole TLS comble la faille de sécurité liée aux identifiants en clair que laisse ouverte le protocole « simple bind » non chiffré.

Lier DN & Versa

Versa Les profils d'authentification LDAP et Active Directory de la passerelle SSE requièrent un DN de liaison et un mot de passe de liaison comme champs obligatoires, en plus du DN de base et du nom de domaine. La passerelle utilise le DN de liaison du profil pour établir une session authentifiée avec le serveur AD, puis effectue une recherche sous le DN de base afin de valider l'utilisateur et de récupérer son appartenance à des groupes. Reportez-vous à la section « Configuration des profils d'authentification sur la passerelle SSE » pour consulter le tableau complet des paramètres des profils.

La recherche du DN de liaison approprié pour un compte de service Active Directory constitue une étape courante de la configuration. Le Configuration étape par étape : profils d'authentification sur les passerelles SSE L'annexe du guide explique comment le localiser à l'aide de l'outil « Utilisateurs et ordinateurs Active Directory » ou de l' dsquery user commande.

Questions fréquentes

Quelle est la différence entre un DN de liaison et un DN de base ?

Le DN de liaison identifie le compte de service qui s'authentifie auprès de l'annuaire ; le DN de base indique à quel niveau de l'arborescence les recherches relatives à ce compte commencent. Un DN de liaison peut être cn=Administrator,cn=Users,dc=versa,dc=com, tandis qu'un DN de base tel que dc=versa,dc=com étend chaque recherche à l'ensemble du domaine.

Le DN de liaison nécessite-t-il des droits d'administrateur ?

Non – il suffit qu'il dispose d'un accès en lecture aux utilisateurs et groupes interrogés par le profil d'authentification, sans avoir besoin de droits d'administration complets sur l'annuaire. Un compte de service doté des privilèges minimaux, plutôt qu'un administrateur de domaine, limite les gains potentiels d'un attaquant si le mot de passe du Bind DN venait à être divulgué.

Que se passe-t-il si le DN de liaison ou le mot de passe est incorrect ?

L'opération de liaison échoue purement et simplement et le serveur d'annuaire refuse la connexion ; aucune recherche ne peut donc être effectuée : tous les utilisateurs s'authentifiant via ce profil se voient refuser l'accès, et pas seulement ceux que le compte mal configuré n'aurait pas pu trouver dans le cas contraire.

L'authentification Bind DN peut-elle fonctionner sans chiffrement ?

Techniquement, oui, en utilisant une simple connexion via LDAP en texte clair, mais cela implique que le mot de passe du DN de connexion soit transmis sur le réseau sans être chiffré. Les déploiements en production devraient plutôt activer SSL/TLS (LDAPS ou STARTTLS) afin que les identifiants de connexion restent protégés pendant leur transit, et pas seulement les requêtes d'annuaire qui suivent.

Comment puis-je trouver le DN de liaison d'un compte de service Active Directory ?

Courir dsquery user -name <account> sur le serveur AD, qui renvoie le nom distinctif complet du compte – par exemple cn=admin,cn=Users,dc=versanetworks,dc=com. L'outil « Utilisateurs et ordinateurs Active Directory » affiche visuellement ce même chemin d'accès, ce qui vous permet d'accéder au conteneur du compte et de copier directement son DN.

En savoir plus sur le DN de liaison

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez au DN de liaison, voici quelques liens qui pourraient vous intéresser.