Les concepts de base LDAP

LDAP : Protocole ou normalisation des systèmes d’annuaires informatiques

LDAP est souvent présenté comme un protocole de communication pour joindre un annuaire informatique. Mais il est devenu en fait bien plus que ça. En effet, bien qu’à l’origine il fut créé pour être une amélioration (en fait un "allègement" d’où Lightweight en anglais) du protocole existant de l’époque DAP, il est maintenant désigné comme norme pour les systèmes d’annuaires au travers des RFC4510 à RFC4519 définissant des modèles (de structure, de nommage, de sécurité), permettant ainsi de constituer son annuaire informatique de manière moins complexe que le modèle de l’époque nommé X.500 normalisé par l’UIT-T.

LDAP est un protocole de niveau 5 du modèle de communication OSI qui s’appuie sur les protocoles de couches basses « TCP/IP ». Il est donc orienté « connexion » et doit en ce sens établir une communication avec le serveur LDAP afin d’échanger des données. LDAP, comme tout protocole, est défini par un ensemble d’opérations réalisées entre le client et le serveur, mais aussi par le contenu de ces messages définissant l’organisation logique de l’annuaire. Ainsi, la nature des actions peut être initiée par le client (c’est-à-dire la recherche, la modification et la suppression), par les réponses du serveur et également par des opérations de connexion/déconnexion de session entre le client et le serveur.

Toutefois, le protocole LDAP ne se résume pas seulement à la nature des opérations réalisées entre un client et un serveur, car il possède également un modèle logique qui permet de structurer et d’organiser les informations...

Modèle de stockage des informations

L’unité de base de l’information stockée dans un annuaire s’appelle une entrée ; celle-ci contient des informations sur un type d’objet particulier qui peut être une personne, un serveur, une fonction ou bien même une organisation d’entreprise, etc. Les entrées sont ainsi composées d’une collection d’attributs qui contiennent les informations décrivant l’objet. Chaque attribut est constitué d’un type de syntaxe et d’une ou plusieurs valeurs. Le type de syntaxe spécifie en fait le type de valeurs pouvant être stockées par l’attribut. Par exemple, une entrée contenant des informations sur un objet Personne peut avoir un attribut nommé Numéro de Téléphone dont le type de syntaxe autorisera l’utilisation de caractères numériques, mais aussi de caractères spéciaux tels que des tirets (-) ou des signes plus (+) et également des espaces. Mais comme une personne peut détenir plusieurs numéros de téléphone, il convient également de définir pour cet attribut la possibilité de posséder plusieurs valeurs différentes.

La relation entre une entrée de l’annuaire et ses attributs et leurs valeurs est illustrée par la figure 2-1 :

Figure 2-1 : Modèle de stockage de l’information

Modèle d’organisation des informations

1. La structure arborescente (DIT)

Le modèle d’organisation des informations définit comment les entrées de l’annuaire LDAP sont identifiées et organisées. Celles-ci sont organisées dans une structure arborescente appelée Directory Information Tree (DIT) comparable à la structure d’un système de fichiers Unix où les fichiers et les répertoires ont comme base la racine (/) et se déploient par de multiples ramifications. Dans le modèle LDAP, la racine est nommée « suffixe » et chaque nœud de l’arbre (ou DIT) représente une « entrée » appelée (DSE) pour Directory Entry Service. Voici un exemple (figure 2-6) permettant d’illustrer de façon conceptuelle les informations précédentes où chaque rectangle représente une entrée de l’annuaire.

Figure 2-6 : DIT

Chaque entrée de l’annuaire (DSE) sera désignée selon le contexte soit par son Relative Distinguished Name (RDN), soit par son Distinguished Name (DN). Ces termes sont en quelque sorte comparables au modèle Unix ou l’on peut désigner un fichier par son nom complet depuis la racine (/) ou bien seulement par son nom si l’on se trouve dans le répertoire du fichier désigné....

Modèle fonctionnel

Le modèle fonctionnel LDAP définit la manière dont il est possible d’accéder aux informations contenues dans l’annuaire.

Il se constitue d’opérations qui peuvent être regroupées en trois catégories :

Modèle de sécurisation et de confidentialité des informations

La sécurité informatique est d’une grande importance dans un monde d’ordinateurs interconnectés, et cela vaut également pour les communications LDAP. Lors de l’envoi de données sur des réseaux non sécurisés, les informations sensibles devront être protégées pendant le transport. Il est également nécessaire de savoir qui demande l’information et qui l’envoie. Ceci est particulièrement important en ce qui concerne les opérations de mise à jour sur un annuaire.

Le terme sécurité, tel qu’utilisé dans le contexte de ce livre, couvre généralement les quatre fonctions suivantes :