Qu'est-ce que le LDAP ?

Le protocole LDAP (Lightweight Directory Access Protocol) est un protocole client-serveur permettant de consulter et d'effectuer des recherches dans des services d'annuaire tels que Microsoft Active Directory. Il transmet des requêtes concernant les noms d'utilisateur, l'appartenance à des groupes et d'autres attributs, ce qui permet aux périphériques réseau d'authentifier les utilisateurs et d'appliquer des politiques basées sur les rôles ou les groupes sans avoir à gérer leur propre base de données d'utilisateurs.

Points clés à retenir

• Le protocole LDAP interroge des serveurs d'annuaire tels qu'Active Directory pour rechercher des utilisateurs et des groupes.
• Une opération de liaison permet d'authentifier le client avant que toute recherche ne puisse être lancée.
• Les noms distinctifs (DN) permettent d'accéder à des entrées spécifiques dans l'arborescence du répertoire.
• Versa Les appareils utilisent des profils de serveur LDAP pour authentifier les utilisateurs et récupérer leurs rôles.
• Les protocoles LDAPS et StartTLS chiffrent les sessions LDAP afin que les identifiants ne soient pas transmis en clair.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · LDAP et Versa · FAQ

Pourquoi le protocole LDAP est-il important ?

Presque tous les réseaux d'entreprise disposent déjà d'un annuaire – le plus souvent Active Directory – contenant le nom d'utilisateur, le hachage du mot de passe et les appartenances à des groupes de chaque employé. Le protocole LDAP est essentiel, car il permet aux périphériques réseau et de sécurité de réutiliser cet annuaire au lieu de gérer une liste distincte et redondante d'utilisateurs. Un pare-feu ou une passerelle compatible LDAP peut authentifier un utilisateur à l'aide du même compte que celui qu'il utilise pour se connecter à son ordinateur portable, et appliquer des règles en fonction des groupes auxquels ce compte appartient déjà.

Cela revêt autant d’importance sur le plan opérationnel que sur le plan de la sécurité. Sans LDAP, les administrateurs devraient créer et supprimer des comptes utilisateurs individuellement sur chaque appareil ; grâce à ce protocole, il suffit d’ajouter une personne à un groupe Active Directory pour lui accorder ou lui retirer l’accès partout où ce groupe est référencé dans les politiques. Comme LDAP est une norme ouverte et indépendante des fournisseurs, elle permet également aux équipements de différents fabricants d’interroger le même annuaire de la même manière – c’est pourquoi elle reste le point d’intégration par défaut entre l’infrastructure réseau et l’identité d’entreprise, même si des protocoles plus récents comme SAML et RADIUS gèrent d’autres aspects de l’authentification.

Qu'est-ce que le LDAP ?

Le protocole LDAP organise les données d'annuaire sous la forme d'une arborescence d'entrées, appelée « arborescence d'informations d'annuaire » (DIT). Chaque entrée est identifiée par un nom distinctif (DN) – un chemin constitué d'éléments tels que le nom commun (CN), l'unité organisationnelle (OU) et le composant de domaine (DC) – et comporte des attributs définis par une classe d'objet, tels que l'adresse e-mail d'un utilisateur ou la liste des membres d'un groupe.

Un client interagit avec l'annuaire au moyen d'un petit ensemble d'opérations. Lier authentifie le client à l'aide du DN et du mot de passe d'un compte de service (le DN de liaison et le mot de passe de liaison) ; ce n'est qu'après une liaison réussie que le client peut effectuer d'autres opérations. Recherche récupère les entrées correspondant à un filtre, dont la portée est délimitée par un point de départ appelé « DN de base » – par exemple, tous les utilisateurs dont memberOf attribut répertorie un groupe donné. Le protocole LDAP fonctionne généralement sur le port TCP 389, ou sur le port 636 lorsqu'il est encapsulé dans TLS dès le départ.

Types de LDAP

Il existe trois types de connexion permettant d'authentifier un client LDAP avec des niveaux de sécurité différents. La connexion anonyme n'envoie aucune information d'identification et est désactivée sur les annuaires de production. La connexion simple – le mode utilisé par la plupart des périphériques réseau – envoie un DN et un mot de passe en clair ; elle doit donc s'effectuer via une session chiffrée. La connexion SASL délègue l'authentification à un mécanisme tel que Kerberos, qui vérifie l'identité sans transmettre le mot de passe.

La sécurité du transport est une option distincte qui s'ajoute à cela. Le protocole LDAP standard transmet toutes les données, y compris les identifiants de connexion simple, sans les chiffrer. Le protocole LDAPS encapsule l'intégralité de la session dans SSL/TLS dès le premier paquet, sur un port dédié. Le protocole StartTLS commence par une connexion en clair sur le port LDAP standard, puis passe à TLS en cours de session, ce qui évite d'utiliser un deuxième port d'écoute. La quasi-totalité des annuaires utilisés dans ce domaine sont des Microsoft Active Directory, bien que des alternatives conformes aux normes, telles qu’OpenLDAP et 389 Directory Server, implémentent le même protocole et puissent servir de cible LDAP à leur place.

Le protocole LDAP a également évolué au fil des versions. La version LDAPv2, définie au début des années 1990, est désormais obsolète et n’est plus prise en charge par les annuaires modernes. La version LDAPv3, normalisée par les RFC 4510 à 4519, est la version actuelle — elle intègre les liaisons SASL, les renvois et les opérations étendues — et c’est celle sur laquelle s’appuient aujourd’hui toutes les intégrations en production, y compris celles d’ Versa.

LDAP & Versa

Versa Les appareils authentifient les utilisateurs par rapport à Active Directory via un profil de serveur LDAP, qui définit le nom de domaine, le DN de base, le DN de liaison et le mot de passe, les délais d'expiration de liaison et de recherche, ainsi que le mode SSL (LDAPS ou Start TLS avec un certificat d'autorité de certification). Si le nœud Director ne peut pas accéder directement au serveur LDAP, un appareil VOS peut être configuré en tant que proxy pour récupérer la liste des utilisateurs et des groupes à sa place.

Un profil de mappage utilisateur/groupe distinct indique à l’appareil comment interpréter le schéma de ce répertoire – ses classes d’objets « groupe » et « utilisateur », l’attribut d’appartenance à un groupe, le format du nom d’utilisateur et un intervalle de rafraîchissement (60 secondes par défaut) – et Director met en cache la liste obtenue, en la rafraîchissant toutes les 60 minutes environ afin que les recherches de politiques ne sollicitent pas directement le serveur LDAP. Le flux de configuration spécifique au NGFW suit le même principe pour les politiques de pare-feu, tandis que les paramètres au niveau de l’organisation permettent aux administrateurs de délimiter l’accès LDAP à l’aide de filtres personnalisés, en restreignant les utilisateurs ou groupes Active Directory autorisés à accéder à un client d’ SASE , à une passerelle multi-locataires ou à un VPN d’accès à distance. Un profil LDAP est l’une des nombreuses méthodes – aux côtés de SAML, Kerberos, RADIUS, des certificats et des bases de données locales – auxquelles un profil d’authentification peut se référer pour les politiques NGFW, SD-WAN, CoS et UTM basées sur les utilisateurs et les groupes.

Questions fréquentes

Quelle est la différence entre LDAP et Active Directory ?

LDAP est le protocole ouvert utilisé pour interroger un annuaire et s'y authentifier ; Active Directory est le service d'annuaire de Microsoft, l'un des nombreux produits qui exposent des données via LDAP. Les appareils « s'authentifient via LDAP » auprès d'un serveur Active Directory : le protocole et le produit constituent des couches distinctes.

Quel port le protocole LDAP utilise-t-il ?

Le protocole LDAP standard et StartTLS utilisent tous deux le port TCP 389 par défaut ; StartTLS passe cette même connexion en clair à un mode chiffré à mi-parcours de la session, après la phase d'établissement initiale. Le protocole LDAPS, qui encapsule l'intégralité de la session dans SSL/TLS dès le premier paquet au lieu de passer au mode chiffré en cours de connexion, utilise un port dédié distinct, le port 636.

Qu'est-ce qu'un nom distinctif dans LDAP ?

Un nom distinctif (DN) est le chemin d'accès unique vers une entrée de l'arborescence du répertoire, constitué d'éléments tels que le nom commun, l'unité organisationnelle et le composant de domaine, lus de l'extérieur vers la racine – par exemple, cn=jsmith,ou=Users,dc=versa,dc=com désigne une entrée utilisateur spécifique au sein d'un conteneur « Users ».

En quoi le protocole LDAP diffère-t-il du protocole RADIUS ?

LDAP est un protocole de requête d'annuaire conçu pour lire et rechercher des données structurées relatives aux utilisateurs et aux groupes. RADIUS est un protocole d'authentification, d'autorisation et de comptabilité conçu pour accorder ou refuser l'accès au réseau et consigner cette décision. De nombreux déploiements utilisent les deux : RADIUS pour les décisions d'accès, s'appuyant sur une requête dans l'annuaire LDAP.

Le trafic LDAP est-il chiffré ?

Ce n'est pas le cas par défaut. Le protocole LDAP standard sur le port 389 transmet les identifiants de connexion « simple-bind » et les résultats de recherche sans les chiffrer ; ils sont donc lisibles par toute personne se trouvant sur le chemin du réseau. Dans les déploiements en production, il est recommandé d'activer plutôt LDAPS ou StartTLS, deux protocoles qui chiffrent la session via SSL/TLS afin que les identifiants et les données d'annuaire restent protégés pendant leur transit.

En savoir plus sur LDAP

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez au protocole LDAP, voici quelques liens qui pourraient vous intéresser.