LDAP: Lightweight Directory Access Protocol

In den meisten Organisationen liegt längst fest, wer welche Software öffnen darf. Die Frage ist nur, ob jede neue Anwendung diese Information erneut pflegt oder LDAP nutzt, um sie an einer Stelle abzufragen.
Mitarbeiter*innen einer Agentur sitzen an einem Laptop und verschaffen sich mit dem LDAP Protokoll den Zugriff auf den Verzeichnisdienst Microsoft Active Directory.
© ""

Was ist LDAP?

LDAP steht für Lightweight Directory Access Protocol und regelt den Zugriff auf einen Verzeichnisdienst, also auf ein zentrales Verzeichnis von Benutzern, Gruppen, Geräten und Berechtigungen einer Organisation. Anwendungen fragen darüber ab, ob eine Anmeldung gültig ist und welche Rechte und Gruppenzugehörigkeiten dazugehören. Bekannte Vertreter sind Active Directory von Microsoft und das freie OpenLDAP.

Entstanden ist das Protokoll Anfang der neunziger Jahre an der University of Michigan als schlankere Fassung des Directory Access Protocol aus dem X.500-Standard. Seine Struktur ist offen und in mehreren RFC beschrieben. Ein zentrales Verzeichnis ist der Ankerpunkt jedes Berechtigungskonzepts, weshalb es im IT-Sicherheitsmanagement eine eigene Rolle spielt.

Warum es keine gewöhnliche Datenbank ist

Ein Verzeichnis ähnelt einer Datenbank, ist aber auf Lesen ausgelegt. Relationale Systeme sollen große Datenmengen schnell aufnehmen, ein Verzeichnis dagegen sehr viele gleichzeitige Abfragen beantworten. Geschrieben wird selten, meist beim Anlegen oder Sperren eines Kontos.

Der Vergleich mit einem Telefonbuch trifft es. Es wird dauernd nachgeschlagen und selten geändert. Aus dieser Auslegung folgt der typische Einsatz, nämlich Benutzerverwaltung, Authentifizierung in Unternehmenssoftware und eine einzige Anmeldung für mehrere Anwendungen. Ein Verzeichnisdienst hält daneben auch Adressbücher und Gerätelisten, die viele Beschäftigte gleichzeitig abfragen.

Aufbau des Verzeichnisbaums

Das Verzeichnis ist hierarchisch organisiert. Jeder Eintrag hat eine feste Position in einem Baum, der beim Wurzelelement beginnt und sich über Länder, Organisationen, Organisationseinheiten und Domänenbestandteile bis zu einzelnen Personen oder Geräten verzweigt.

Unterschieden werden Container, die weitere Objekte aufnehmen, und Blätter am Ende eines Astes. Der vollständige Pfad zu einem Eintrag heißt Distinguished Name, ein einzelner Abschnitt davon Relative Distinguished Name. Die Baumstruktur bildet die Organisation ab, weshalb eine Umstrukturierung im Unternehmen auch das Verzeichnis betrifft. Über Gruppenmitgliedschaften werden darin Rollen zugeordnet, was die Rechtevergabe von einzelnen Konten löst.

Anbindung eigener Anwendungen

Viele Standardprodukte bringen eine LDAP-Anbindung mit. Für Eigenentwicklungen muss sie gebaut werden, meist verschlüsselt über LDAPS oder StartTLS, weil Anmeldedaten sonst im Klartext über das Netz gehen. Diese Schnittstellenentwicklung bleibt überschaubar, solange Struktur und Gruppenzuordnung des Verzeichnisses vorher feststehen.

Der Gewinn zeigt sich vor allem beim Systemwechsel. Fragt eine neue Anwendung dieselbe Verzeichnisquelle ab, entfällt das Übertragen von Konten und Berechtigungen, und gesperrte Konten wirken sofort in allen angebundenen Systemen. Die Anbindung ersetzt keine Rechteplanung, sie setzt nur um, was im Verzeichnis bereits hinterlegt ist.

Aktuelle Themen

Alle Über unsEntwicklungEventsMarketingSonstigesNews & TrendsArbeitswelt & Digitalisierung
Zwei Personen um die dreißig stehen sich vor korallenrotem Grund gegenüber. Links hält eine Frau eine einzelne durchscheinende Belegkarte mit eingravierter Gitterstruktur, rechts sinkt einem Mann ein ganzer Fächer solcher Karten in die offene Hand, die unterste davon gelbgrün. Sinnbild dafür, dass die E-Rechnungspflicht für Vereine zuerst die Eingangsseite trifft und nicht den eigenen Rechnungsausgang.
E-Rechnungspflicht für Vereine: Welcher Stichtag wirklich gilt
Zum 1. Januar 2027 endet eine Übergangsfrist, und in vielen Vereinsrundschreiben steht deshalb, die E-Rechnungspflicht für Vereine beginne jetzt. Für dein eigenes Rechnungsschreiben stimmt das fast sicher nicht. Geld kosten kann die E-Rechnung im Verein trotzdem, und drei Fragen entscheiden darüber.
Weiterlesen... Lesezeit: 6 Min.
Eine junge Frau mit Brille sitzt auf einem Bürostuhl und blickt zu einem gelbgrünen Briefumschlag, der über ihr in einem Kreis aus durchscheinenden digitalen Umschlägen schwebt. Sinnbild für die interaktive E-Mail, in der die Handlung direkt in der Nachricht stattfindet.
Interaktive E-Mail: Die Technik, die Newsletter neu definiert
Die interaktive E-Mail verändert, wie kleine und mittelständische Unternehmen Kunden über das Postfach erreichen. Statt nur Informationen zu senden, werden direkt in der Nachricht konkrete Handlungen möglich, von der Mini-Umfrage bis zur Produktwahl. Unterstützt durch interaktives E-Mail Marketing und Technologien wie AMP Email verkürzt sich der Weg von Interesse zu Aktion deutlich, was gerade im Alltag von KMU spürbare Effekte erzeugen kann.
Weiterlesen... Lesezeit: 6 Min.
Drei offene Türen nebeneinander, hinter jeder derselbe Raum mit demselben Schreibtisch, derselben Lampe und derselben Pflanze. Eine der Türen ist gelbgrün. Ein Sinnbild für viele identische Instanzen derselben Anwendung.
Kubernetes vs. Docker: Was die beiden wirklich unterscheidet
Kubernetes vs. Docker wird oft als Entscheidung zwischen zwei Alternativen dargestellt. Tatsächlich lösen die beiden unterschiedliche Aufgaben und werden in vielen Umgebungen gemeinsam eingesetzt. Dieser Beitrag ordnet ein, was Docker leistet, wo Kubernetes ansetzt und ab wann sich der Aufwand einer vollwertigen Orchestrierung überhaupt rechnet.
Weiterlesen... Lesezeit: 4 Min.