Qu'est-ce qu'un nom distinctif ?

Un nom distinctif (DN) est l'identifiant unique et hiérarchique d'une entrée donnée dans une arborescence d'annuaire LDAP ou du champ « sujet » d'un certificat X.509. Constitué d'une séquence ordonnée de composants relatifs – tels que le nom commun, l'unité organisationnelle et le composant de domaine –, un DN identifie de manière univoque et précise un seul objet au sein de son annuaire ou de son espace de noms de certificat.

Points clés à retenir

• Un DN identifie de manière unique une entrée dans un annuaire LDAP ou un certificat.
• Les DN sont constitués d'éléments classés par ordre, tels que les CN, les OU et les DC.
• Le « Bind DN » et le « Base DN » sont deux utilisations spécifiques au protocole LDAP d'un DN.
• Versa Les appareils utilisent un DN Bind pour s'authentifier auprès des serveurs d'annuaire.
• Le caractère unique d’un DN permet aux annuaires de résoudre exactement un objet correspondant.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · DN et Versa · FAQ

Pourquoi un DN est-il important ?

Chaque entrée d'un annuaire LDAP – qu'il s'agisse d'un utilisateur, d'un groupe ou d'un compte de service – doit disposer d'une adresse qui ne soit partagée par aucune autre entrée. Un nom distinctif (Distinguished Name, ou DN) correspond à cette adresse : il s'agit d'une chaîne de caractères unique qui désigne un objet de manière univoque, où qu'il se trouve dans l'arborescence. Sans les DN, les annuaires et les applications qui les interrogent ne disposent d'aucun moyen fiable pour déterminer à quel objet une requête fait référence.

Les DN ont également leur importance au-delà des annuaires. Les certificats X.509 comportent un DN de sujet identifiant le titulaire du certificat, ainsi qu’un DN d’émetteur désignant l’autorité de certification qui l’a signé. Les applications de validation comparent le DN de sujet, ou un élément tel que le nom commun, à l’identité attendue.

Pour les équipes réseau et sécurité, les DN sont des éléments opérationnels : la validité d'un profil d'authentification LDAP dépend entièrement de l'exactitude des DN de liaison (Bind DN) et de base (Base DN) qui y sont renseignés, et une erreur de saisie du DN est une cause fréquente d'échec de l'authentification dans l'annuaire.

Qu'est-ce qu'un DN ?

Un DN est une séquence de noms distinctifs relatifs (RDN) séparés par des virgules, chacun étant constitué d'une paire attribut=valeur. Un DN LDAP type se présente comme suit : CN=jdoe,OU=Engineering,DC=example,DC=com: un utilisateur (CN=jdoe) au sein d'une unité organisationnelle appartenant à un domaine. Chaque RDN restreint la portée jusqu'à ce qu'il ne reste plus qu'une seule entrée.

Parmi les types d'attributs courants, on trouve notamment CN (Nom commun), OU (Unité organisationnelle), O (Organisation), DC (composant de domaine), et C (Pays). Ces mêmes éléments constitutifs désignent les sujets et les émetteurs des certificats X.509, bien que les certificats soient le plus souvent associés à O et C avec CN plutôt que le DC chaîne caractéristique d'Active Directory.

Deux DN reviennent régulièrement dans la configuration d'un annuaire : le DN de base, où commence la recherche, et le DN de liaison, c'est-à-dire l'identité sous laquelle un client s'authentifie avant de pouvoir effectuer une recherche. Aucun des deux n'est facultatif : chaque requête LDAP nécessite ces deux éléments.

Types de DN

Tous les DN ne jouent pas le même rôle. Le DN de base définit la racine d’une recherche dans l’annuaire : tout ce qui se trouve en dessous fait partie du champ d’application, tout ce qui se trouve en dehors n’en fait pas partie. Le DN de liaison identifie le compte sous lequel un client s’authentifie ; il est associé à un mot de passe de liaison et doit correspondre à une entrée réelle de l’annuaire disposant d’une autorisation de requête. Le DN du sujet, dans les certificats X.509, désigne l’entité à laquelle le certificat a été délivré. Le DN de l’émetteur désigne l’autorité de certification qui l’a signé.

A Nom distinctif relatif (RDN) est l'élément constitutif le plus petit : un couple attribut=valeur, tel que CN=jdoe. Un DN complet est une chaîne ordonnée de RDN allant de l'entrée cible jusqu'à la racine de l'arborescence. Les administrateurs limitent parfois la portée d'un DN de base à une seule unité organisationnelle plutôt qu'à la racine du domaine, afin de restreindre l'accès d'un profil.

DN & Versa

VersaLa passerelle SSE de [nom de l'entreprise] utilise une technologie basée sur LDAP profils d'authentification pour valider les utilisateurs par rapport à Active Directory ou Open-LDAP ; les champs « Base DN » et « Bind DN » sont tous deux obligatoires. Le « Bind DN » correspond au DN du compte de service – par exemple cn=Administrator,cn=users,dc=versa,dc=com – que la passerelle utilise pour se connecter à l'annuaire et y effectuer des requêtes. Le DN de base définit le point de départ des recherches dans l'arborescence de l'annuaire ; il s'agit généralement de la racine du domaine ou d'une unité organisationnelle.

Les administrateurs récupèrent généralement ces deux valeurs depuis Active Directory à l'aide d'outils tels que dsquery – voir le guide de configuration étape par étape pour connaître la procédure complète. Les profils basés sur des certificats utilisent les DN différemment : le DN du sujet du certificat client, qui correspond souvent simplement à son nom commun, est comparé à l’identité attendue par l’ Versa .

Questions fréquentes

Quelle est la différence entre un DN de base et un DN de liaison ?

Un DN de base définit le point de départ des recherches dans l'annuaire, c'est-à-dire la portée de l'arborescence accessible à une requête. Un DN de liaison correspond à l'identité du compte sous laquelle un client s'authentifie avant de pouvoir effectuer une recherche. Un profil nécessite ces deux éléments : le DN de liaison pour se connecter, et le DN de base pour savoir où effectuer la recherche.

À quoi ressemble un DN ?

Un DN est une chaîne de paires attribut=valeur séparées par des virgules, les plus spécifiques apparaissant en premier : CN=jdoe,OU=Engineering,DC=example,DC=com. Chaque segment correspond à un nom distinctif relatif (RDN) qui restreint la portée, depuis une entrée individuelle jusqu'à l'unité organisationnelle et au domaine qui la contiennent dans l'arborescence.

Un DN correspond-il à un nom commun ?

Non. Un nom commun (CN) est un attribut faisant partie d’un DN – il s’agit généralement du nom d’affichage d’une entrée ou de l’identité du sujet d’un certificat. Le DN est le chemin d’accès complet, qui combine le CN avec d’autres attributs tels que l’unité organisationnelle et le composant de domaine afin d’identifier l’entrée de manière unique.

Deux entrées de répertoire peuvent-elles partager le même DN ?

Non – l'unicité est justement l'essence même d'un DN. Les serveurs d'annuaire veillent à ce principe : aucune entrée d'une même arborescence ne peut correspondre à un nom distinctif identique, ce qui permet au DN de servir de référence fiable et sans ambiguïté pour l'authentification et les recherches.

Pourquoi un profil d'authentification LDAP a-t-il besoin d'un DN ?

En effet, LDAP ne dispose d'aucun autre moyen de désigner un objet spécifique du répertoire. Le DN de liaison indique au serveur qui se connecte ; le DN de base lui indique où effectuer la recherche. Sans DN corrects, un profil d'authentification ne peut pas localiser le compte du répertoire qu'il doit valider.

En savoir plus sur les noms distinctifs

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez aux DN, voici quelques liens qui pourraient vous intéresser.