とことこロゴス
LDAP
利用者や機器の情報をまとめて管理するディレクトリサービスに、問い合わせたり、情報を更新したりするためのプロトコル。社内の利用者の認証や、アドレス帳の検索などに使われる。
イマシルちゃんの解説
LDAPは、利用者や機器の情報を管理するサーバに、検索や更新を頼むためのプロトコルだよ。
たとえば社内のシステムが社員の部署やメールアドレスを必要としたら、条件を指定してサーバへ問い合わせるんだ。
サーバは条件に合う情報を探して返してくれるよ。
権限があれば、社員の追加や異動に伴う情報の変更も頼めるの。
ログインする人を確かめる認証にも使えるよ。
複数のシステムが共通の情報を参照できるので、それぞれに別々の名簿を持つ手間や食い違いを減らせるんだ。
この解説はわかりやすかったですか？
より深い解説
定義
LDAP（Lightweight Directory Access Protocol）は、RFC 4511などで定められた、ディレクトリサービスにアクセスするためのプロトコルである。OSIのディレクトリの規格（X.500）のアクセス方法（DAP）を、TCP/IPで使えるように軽くしたものである。ポート番号は TCP 389番、TLSで保護したLDAPS は 636番を使う。
ディレクトリの構造
情報は、木構造（DIT：Directory Information Tree）で管理される。1つ1つの項目（エントリ）は、木の中の位置を表す識別名（DN：Distinguished Name）で区別される。
dc=example,dc=com
└ ou=営業部
└ cn=山田太郎 ← DN：cn=山田太郎,ou=営業部,dc=example,dc=com| 略号 | 意味 |
|---|---|
| dc | ドメインの構成要素（Domain Component） |
| ou | 組織の単位（Organizational Unit） |
| cn | 名前（Common Name） |
主な操作
| 操作 | 内容 |
|---|---|
| Bind | 接続した相手を認証する（利用者の認証に使える） |
| Search | 条件に合うエントリを検索する |
| Add、Modify、Delete | エントリを追加・変更・削除する |
主な用途
- 社内の利用者のIDとパスワードを一元管理し、各システムの認証に使う（Active Directoryも内部でLDAPを使う）
- メールソフトのアドレス帳の検索
- RADIUSサーバが、利用者の情報をLDAPのサーバに問い合わせる
似た名前のプロトコルとの区別
UDPで動くLDAP（CLDAP）は、小さな問合せに大きな応答を返すため、DRDoS攻撃の増幅に悪用されたことがある。