LDAP

Структура LDAP

• Корневой элемент (Root) — это наивысший уровень иерархии, который представляет всю директорию.
• DC (Domain Component) — это компоненты домена, которые указывают на доменные имена. Например, dc=example и dc=com.
• OU (Organizational Unit) — это организационные единицы, которые используют для группировки объектов внутри домена. Например, ou=sale, dc=example, dc=com может представлять отдел продаж в домене example.com. Обратите внимание: организационные единицы могут быть вложенными друг в друга. Например, ou=Developers,ou=IT,ou=Staff.
• CN (Common Name) — это общие имена, которые используют для идентификации объектов в каталоге. Обычно за ними скрываются пользователи или ресурсы. Например, в записи cn=John Doe, ou=marketing, dc=example, dc=com общее имя — это cn=John Doe.
• DN (Distinguished Name) — это полный путь к объекту. Например, cn=John Smith,ou=Developers,ou=IT,dc=example,dc=com. Порядок компонентов в полном пути имеет значение. Ещё важно знать, что DN всегда уникален в рамках дерева — такой полный путь один на всю директорию.
• RDN (Relative Distinguished Name) — это относительное имя объекта. Оно является частью DN (полного пути к объекту). RDN уникален только в рамках родительского элемента.
• Атрибуты (Attributes) — это характеристики объекта. Например, имя, email, телефон. Регистр для атрибутов не имеет значения. Поэтому dc=example эквивалентно DC=example. Список атрибутов, которые используют чаще всего:

Идентификация
uid: уникальный идентификатор
cn: общее имя
sn: фамилия
givenName: имя
displayName: отображаемое имя

Контактная информация:
mail: email адрес
telephoneNumber: телефон
mobile: мобильный телефон
postalAddress: почтовый адрес

Организационная информация:
title: должность
manager: DN руководителя
departmentNumber: номер отдела
employeeNumber: табельный номер
employeeType: тип сотрудника 

• Объектные классы — это шаблоны с набором атрибутов. Они определяют, какие атрибуты может или должен иметь объект.

Например, основные объектные классы:

person:
  - обязательные: cn, sn
  - опциональные: userPassword, telephoneNumber, seeAlso, description

organizationalPerson (наследует person):
  + title, street, postalCode, postOfficeBox

inetOrgPerson (наследует organizationalPerson):
  + mail, givenName, uid, manager, departmentNumber

groupOfNames:
  - обязательные: cn, member
  - опциональные: description, owner

organization:
  - обязательные: o
  - опциональные: description, postalAddress, telephoneNumber 

Популярные реализации LDAP

• OpenLDAP — это открытая реализация.
• Microsoft Active Directory — проприетарная реализация от Microsoft.
• Apache Directory Server.
• 389 Directory Server (ранее Fedora Directory Server).
• Oracle Internet Directory.

# python-ldap
import ldap

conn = ldap.initialize('ldap://localhost:389')
conn.simple_bind_s('cn=admin,dc=example,dc=com', 'admin_password')

# Поиск пользователей
base_dn = 'ou=people,dc=example,dc=com'
search_filter = '(objectClass=person)'
results = conn.search_s(base_dn, ldap.SCOPE_SUBTREE, search_filter)

# Данные для добавления
user_dn = 'uid=newuser,ou=People,dc=example,dc=com'
user_attrs = {
    'objectClass': [b'inetOrgPerson'],
    'uid': [b'newuser'],
    'cn': [b'New User'],
    'sn': [b'User'],
    'mail': [b'newuser@example.com']
}

# Добавление записи
l.add_s(user_dn, ldap.modlist.addModlist(user_attrs))

-----

Аутентификация пользователя, как если бы это бэкенд для нашего самописного SSO 

try:
    # Пытаемся аутентифицироваться
    conn.simple_bind_s('uid=john,ou=People,dc=example,dc=com', 'password123')
    print("Успешная аутентификация")
except ldap.INVALID_CREDENTIALS:
    print("Неверные учётные данные")
 

Active Directory

• Использует LDAP как один из протоколов.
• Добавляет много Windows-специфичных функций.
• Имеет свои особенности в именовании и структуре.
• Добавляет дополнительные механизмы безопасности.
• Тесно интегрирована с Windows-инфраструктурой.

Основные отличия AD от чистого LDAP

# Чистый LDAP
dn: uid=john,ou=People,dc=example,dc=com

# Active Directory
dn: CN=John Smith,OU=Users,DC=company,DC=com

# Чистый LDAP
dn: uid=john,ou=People,dc=example,dc=com

# Active Directory
dn: CN=John Smith,OU=Users,DC=company,DC=com 

# AD-специфичные атрибуты
sAMAccountName: jsmith
userPrincipalName: john.smith@company.com
memberOf: CN=Sales,OU=Groups,DC=company,DC=com
userAccountControl: 512 

• Групповые политики (GPO) — то есть политики, применяемые к группам.
• Интеграцию с Windows.
• Доменные службы как для Windows, так и для остальных систем.
• DNS интеграцию.
• Репликацию с несколькими контроллерами домена.
• Kerberos аутентификацию. Это основной способ аутентификации в AD, и он усиливает безопасность каталога. Чтобы сравнить степень защиты, можете посмотреть, какие способы аутентификации используются в LDAP.

Дополнительные протоколы AD

• Kerberos. Это протокол аутентификации, который обеспечивает безопасный обмен данными между пользователями и серверами. С ним вы познакомились в первом уроке этой темы.
• DNS. Active Directory использует DNS для разрешения имён компьютеров, контроллеров домена и других ресурсов в сети. Это позволяет пользователям и службам легко находить объекты в Active Directory и взаимодействовать с ними.
• NTLM. Это протокол аутентификации и авторизации, который используется в операционных системах Windows. Он обеспечивает защищённый обмен данными между компьютерами в сети и позволяет пользователям получать доступ к ресурсам на этих компьютерах.
• MS-RPC. Это протокол удалённого вызова процедур, который используется в операционных системах Windows. Он позволяет программам на одном компьютере вызывать процедуры на другом компьютере через сеть.

Пример подключения к AD через LDAP

import ldap

# Подключение к AD через LDAP
conn = ldap.initialize('ldap://dc.company.com')
conn.set_option(ldap.OPT_REFERRALS, 0)
conn.simple_bind_s(
    'CN=John Smith,OU=Users,DC=company,DC=com',
    'password'
)

# Поиск пользователя
result = conn.search_s(
    'DC=company,DC=com',
    ldap.SCOPE_SUBTREE,
    '(&(objectClass=user)(sAMAccountName=jsmith))'
) 

Защита данных в LDAP

Способ 1. Хешированный пароль

dn: uid=john,ou=People,dc=example,dc=com
userPassword: {SSHA}DkMTwBl+a/3DQTxCYEApdUtNXGgdUac3 

• {SSHA} — Salted SHA.
• {SHA} — SHA-1.
• {MD5} — MD5 (устаревший и небезопасный вариант).
• {CRYPT} — Unix crypt.
• {BCRYPT} — BCrypt.

Способ 2. Доступ в файлам ограничен

# Типичные права доступа
ls -l /var/lib/ldap/
-rw------- 1 ldap ldap data.mdb
-rw------- 1 ldap ldap lock.mdb 

Способ 3. Защита NTDS.dit в Active Directory

• Хранит информацию о пользователях, группах, компьютерах и других объектах в домене AD.
• Участвует в аутентификации пользователей при доступе к ресурсам в домене AD.
• Управляет доступом пользователей к ресурсам в домене AD.

• Файл зашифрован системными ключами.
• Для доступа к нему требуются специальные привилегии.
• Файл использует дополнительные механизмы защиты Windows.

Рекомендации по безопасности

• Всегда используйте LDAPS (LDAP over SSL/TLS). Название расшифровывается как LDAP Secure. Это защищённая версия протокола LDAP, которая использует SSL/TLS для шифрования данных при передаче по сети.
• Используйте современные алгоритмы хеширования. Они разработаны таким образом, чтобы сделать брутфорс-атаки неэффективными. Например, к таким алгоритмам относится BCrypt.
• Регулярно обновляйте пароли. Злоумышленник может украсть пароль с помощью фишинг-атаки или найти его в открытом доступе, если пользователь не следует рекомендациям безопасности. Регулярная смена пароля защищает от несанкционированного доступа.
• Ограничивайте физический доступ к серверам. Серверы, на которых хранятся LDAP-базы, нужно защищать от несанкционированного доступа с помощью физических мер безопасности. Ограничьте доступ в серверные помещения и используйте системы видеонаблюдения.
• Шифруйте резервные копии. Злоумышленники могут попытаться получить доступ к резервным копиям данных, поэтому их также необходимо шифровать. Ещё этот подход минимизирует риски в случае утечки данных.
• Мониторьте подозрительную активность. Как вы уже знаете, мониторинг — это основа безопасности. Он помогает распознавать атаки и своевременно на них реагировать.

LDAP и Keycloak

Federated Identity

1. Пользователь заходит на ресурс.
2. Клиента редиректит на IDP. В нашем случае — Keycloak.
3. Мы переводим клиента на 3rd Party IDP. Это Federated IDP — IAM нашей организации в другой стране.
4. Пользователь там логинится. Затем его редиректит к нам на IDP с SAML assertion (или OpenId, это зависит от настроек).
5. Наш IDP парсит SAML, маппит пользователя на нашего пользователя или роль.
6. Наш IDP выдаёт наш SAML.
7. Пользователь аутентифицирован.

• Keycloak.
• Microsoft Azure AD — облачное платное решение, в РФ сейчас недоступно.
• Okta — облачное решение. Скорее всего, сейчас в РФ недоступно.
• Auth0 — облачное решение. Скорее всего, сейчас в РФ недоступно.
• PingFederate.
• Gluu Server — открытое ПО, активно развивается. Можно почитать про него на официальном сайте.
• OpenIAM — тоже открытое ПО. Вот его официальный сайт.

Что почитать про LDAP

• Обзорная статья про LDAP на Хабре.
• Статья на Хабре о том, как развернуть LDAP в операционной системе Linux.

Итоги

• LDAP (Lightweight Directory Access Protocol) — это протокол прикладного уровня для доступа к службам каталогов. Он позволяет организовать централизованное хранение информации о пользователях и ресурсах, проводить SSO, управлять правами доступа, хранить контактную информацию сотрудников и организовать структуру предприятия. Данные в LDAP-каталоге представлены в виде иерархии объектов. Каждый объект — это запись. Древовидная структура, которую образуют объекты, называется «информационным деревом каталога» (Data Information Tree, DIT).
• Для работы с LDAP важно понимать восемь ключевых понятий: корневой элемент (Root), DC (Domain Component, компонент домена), OU (Organizational Unit, организационные единицы), CN (Common Name, общие имена), DN (Distinguished Name, полный путь к объекту), RDN (Relative Distinguished Name, относительное имя объекта), атрибуты и объектные классы.
• Active Directory (AD) — это реализация службы каталогов Microsoft, которая использует и расширяет протокол LDAP. Active Directory имеет свои особенности в именовании и структуре, добавляет много Windows-специфичных функций и дополнительные механизмы безопасности, а также тесно интегрирована с Windows-инфраструктурой.
• Данные в LDAP-базах защищены несколькими способами: через хешированный пароль, через ограничение доступа к файлам базы данных на уровне файловой системы, а у файла NTDS.dit в Active Directory есть свои механизмы защиты. Чтобы усилить безопасность LDAP-баз, рекомендуем также использовать LDAPS (LDAP over SSL/TLS), современные алгоритмы хеширования и шифрование для резервных копий. Также используйте сложные пароли и регулярно их меняйте, ограничивайте физический доступ к серверам и мониторьте подозрительную активность.
• Также вы узнали два сценария использования Keycloak: в первом случае в качестве SSO через LDAP для аутентификации без хранения данных, а во втором случае — через Federated Identity для менеджмента SSO разных стран.