LDAP
利用者や機器の情報をまとめて管理するディレクトリサービスに、問い合わせたり、情報を更新したりするためのプロトコル。社内の利用者の認証や、アドレス帳の検索などに使われる。
イマシルちゃんの解説
会社には、社員の名前、部署、メールアドレス、パスワードなど、たくさんの情報があるよね。
これを、パソコンやメールやいろんなシステムが、それぞれバラバラに持っていたら大変なんだ。
そこで、情報を1か所の「名簿」にまとめておいて、
みんながその名簿に「この人の部署は？」「このパスワードで合ってる？」って聞きに行くんだ。
その聞き方を決めたのが、LDAPなんだよ。
より深い解説
定義
LDAP（Lightweight Directory Access Protocol）は、RFC 4511などで定められた、ディレクトリサービスにアクセスするためのプロトコルである。OSIのディレクトリの規格（X.500）のアクセス方法（DAP）を、TCP/IPで使えるように軽くしたものである。ポート番号は TCP 389番、TLSで保護したLDAPS は 636番を使う。
ディレクトリの構造
情報は、木構造（DIT：Directory Information Tree）で管理される。1つ1つの項目（エントリ）は、木の中の位置を表す識別名（DN：Distinguished Name）で区別される。
dc=example,dc=com
└ ou=営業部
└ cn=山田太郎 ← DN：cn=山田太郎,ou=営業部,dc=example,dc=com| 略号 | 意味 |
|---|---|
| dc | ドメインの構成要素（Domain Component） |
| ou | 組織の単位（Organizational Unit） |
| cn | 名前（Common Name） |
主な操作
| 操作 | 内容 |
|---|---|
| Bind | 接続した相手を認証する（利用者の認証に使える） |
| Search | 条件に合うエントリを検索する |
| Add、Modify、Delete | エントリを追加・変更・削除する |
主な用途
- 社内の利用者のIDとパスワードを一元管理し、各システムの認証に使う（Active Directoryも内部でLDAPを使う）
- メールソフトのアドレス帳の検索
- RADIUSサーバが、利用者の情報をLDAPのサーバに問い合わせる
似た名前のプロトコルとの区別
UDPで動くLDAP（CLDAP）は、小さな問合せに大きな応答を返すため、DRDoS攻撃の増幅に悪用されたことがある。