Ldap

1. LDAP
Universidad Tecnológica del Sur
de Sonora
José Manuel Acosta Rendón
Enero 2011

2. Qué es LDAP
LDAPsonlassiglasdeLightweightDirectoryAccessProtocol(enespañol
ProtocoloLigerodeAccesoaDirectorios)quehacenreferenciaaunprotocolo
aniveldeaplicaciónelcualpermiteelaccesoaunserviciodedirectorio
ordenadoydistribuidoparabuscardiversainformaciónenunentornodered.
LDAPtambiénesconsideradounabasededatos,aunquesusistemade
almacenamientopuedeserdiferente,alaquepuedenrealizarseconsultas.
Unserviciodedirectorioaccesiblepormultituddeaplicaciones,seconvierte
enunapartevitaldelsistema,alproporcionarunaccesouniformealas
personas,recursosyotrosobjetosdelsistema,esdecir,eldirectorioseve
comountodouniforme,enlugardeunconjuntodepartesindependientes.La
utilizacióndelserviciodedirectorioenlaaplicacionespuedefacilitarsu
desarrolloyampliarsufuncionalidad.
El Servicio de Directorio como infraestructura

3. Conceptos y Arquitectura
En1988,laCCITTcreóelestándarX.500,sobreserviciosdedirectorio.En
1990esteestándarfueadoptadoporlaISO,comoISO9594,Data
CommunicationsNetworkDirectory,Recommendations X.500-X.521.
X.500organizalasentradaseneldirectoriodemanerajerárquica,capazde
almacenargrancantidaddedatos,congrandescapacidadesdebúsqueday
fácilmenteescalable.X.500especificaquelacomunicaciónentreelclientey
elservidordedirectoriodebeemplearelDirectoryAccessProtocol(DAP).
PeroDAPesunprotocoloaniveldeaplicación,porloque,tantoelcliente
comoelservidordebíanimplementarcompletamentelatorredeprotocolos
OSI.

4. Conceptos y Arquitectura
LDAP(LightweightDirectoryAccessProtocol)surgecomounaalternativaaDAP.
LasclavesdeléxitodeLDAPencomparaciónconDAPdeX.500son:
1.LDAPutilizaTCP/IPenlugardelosprotocolosOSI.TCP/IPrequieremenos
recursosyestámásdisponible,especialmenteenordenadoresdesobremesa.
2.ElmodelofuncionaldeLDAPesmássimpleyhaeliminadoopciones
raramenteutilizadasenX.500.LDAPesmásfácildecomprendere
implementar.
3.LDAPrepresentalainformaciónmediantecadenasdecaracteresenlugarde
complicadasestructurasASN.1.

5. Conceptos y Arquitectura
Elesquema deinteracciónentreelclienteyelservidorLDAPsigueel
siguienteesquema:
1.ElclienteestableceunasesiónconelservidorLDAP.Elclienteindicael
servidoryelpuertoenelqueelservidorLDAPestáescuchando.Elcliente
puedeproporcionarinformacióndeautenticaciónoestablecerunasesión
anónimaconlosaccesospordefecto.
2.Elclienteefectúalasoperacionessobrelosdatos.LDAPproporciona
capacidadesdebúsqueda,lecturayactualización.
3.Unavezfinalizadaslasoperaciones,elclientecierralasesión.

6. Arquitectura Cliente-Servidor del servicio de
Directorio.
Losserviciosdedirectoriosuelenimplementarsesiguiendoelmodelocliente-
servidor,demodoqueunaaplicaciónquedeseaaccederaldirectoriono
accededirectamentealabasededatos,sinoquellamaaunafuncióndela
API(ApplicationProgrammingInterface),queenvíaunmensajeaunproceso
enelservidor.Dichoprocesoaccedealdirectorioydevuelveelresultadodela
operación.
Algunasveces,elservidorpuedeconvertirseenelclientedeotroservidor
paraconseguirlainformaciónnecesariaparaconseguirprocesarlapetición
queseleharealizado.

7. Arquitectura Cliente-Servidor del servicio de
Directorio.

8. Directorios distribuidos.
Elserviciodedirectoriopuedeestarcentralizadoodistribuido.Enelcasode
sercentralizado,unúnicoservidordatodoelserviciodedirectorio,
respondiendoatodaslaconsultasdelosclientes.Sieldirectorioesta
distribuido,variosservidoresproporcionanelserviciodedirectorio.Cuandoel
serviciodedirectorioestadistribuido,losdatospuedenestarfraccionadosy/o
replicados.
Cuandolainformaciónestafraccionada,cadaservidordedirectorioalmacena
unsubconjuntoúnicoynosolapadodelainformación,esdecir,unaentrada
esalmacenadaenunsoloservidor.Cuandolainformaciónestareplicada,una
entradapuedeestaralmacenadaenvariosservidores.Generalmentecuando
elserviciodedirectorioesdistribuido,partedelainformaciónestá
fraccionadayparteestáreplicada.

9. Seguridad del directorio.
Laseguridaddelainformaciónalmacenadaeneldirectorioesunodelos
aspectosfundamentales.Algunosdirectoriosdebenpermitirelaccesopúblico,
perocualquierusuarionodebepoderrealizarcualquieroperación.
Cualquierusuariopuedebuscarladireccióndecorreodeunempleado,pero
soloelempleadooeladministradordebertenerpermisoparamodificarla.El
departamentodeOrganizaciónyRecursosHumanosdebetenerpermisopara
buscarelnúmerodeteléfonoprivadodeunempleado,peroningunodesus
compañerosdebeteneraccesoaestainformación.
Lapolíticadeseguridaddefinequiéntienequétipodeaccesosobrequé
información.

10. Seguridad del directorio.
DebidoaqueLDAPnaciócomoalternativaligeraaDAPparaelaccesoa
servidoresX.500,sigueelmodeloX.500.Eldirectorioalmacenayorganizala
informaciónenestructurasdedatosdenominadasentradas.
Cadaentradadeldirectoriodescribeunobjeto(unapersona,unaimpresora,
etc).CadaentradatieneunnombrellamadoDistinguishedName(DN),quela
identificaunívocamente.UnDNconsisteenunasecuenciadepartesmás
pequeñasllamadasRelativeDistinguishedName(RDN),deformasimilara
comoelnombredeunficheroconsisteenuncaminodedirectoriosen
muchossistemasoperativos(UNIX,porejemplo).

11. Seguridad del directorio.
LasentradaspuedenserorganizadasenformadeárbolbasándoseenlosDN,
aesteárboldeentradasdedirectorioseleconocecomoDirectory
InformationTree(DIT).
Unaclasedeobjetoesunadescripcióngeneraldeuntipodeobjeto.El
Schemadefinequeclasesdeobjetossepuedenalmacenareneldirectorio,
queatributosdebencontener,queatributossonopcionalesyelformatode
losatributos.

12. Seguridad del directorio.
LDAPdefineprimitivasdeaccesoymodificacióndelasentradasdel
directorio:
·Búsquedasiguiendouncriterioespecificadoporelusuario.
·Añadirunaentrada.
·Borrarunaentrada.
·Modificarunaentrada.
·ModificarelDNdeunaentrada.
·Compararunaentrada.

13. Modelos de LDAP.
Además de definir el protocolo de acceso al directorio, el estándar LDAP
define cuatro modelos que permiten entender mejor el servicio de directorio.
1.Modelo de información , describe la estructura de la información
almacenada en el directorio LDAP.
2.Modelo de nombrado , describe como se organiza e identifica la
información en el directorio LDAP.
3.Modelo funcional, describe que operaciones pueden ser realizadas sobre
la información almacenada en el directorio LDAP.
4.Modelo de seguridad , describe como puede protegerse la información
contenida en el directorio LDAP frente a accesos no autorizados.

14. ¿Dudas?

15. ¡¡ Gracias ¡¡
José Manuel Acosta R.
Enero 2011