Sowohl das Lightweight Directory Access Protocol als auch die Security Assertion Markup Language (LDAP und SAML) sind weit verbreitete Zugriffs- und Authentifizierungsprotokolle, die häufig für Anwendungen und in einer Vielzahl von Organisationen verwendet werden, aber dennoch für ganz unterschiedliche Anwendungsfälle eingesetzt werdenTrotzdem sollten Organisationen nicht gezwungen werden, sich entweder für LDAP oder SAML zu entscheidenDie meisten Unternehmen können auf eine breitere Palette von IT-Ressourcen zugreifen, wenn sie eine Kombination von Authentifizierungsprotokollen verwenden, was ihnen letztendlich hilft, ihre Geschäftsziele besser zu erreichen
Im Folgenden werden wir LDAP und SAML untersuchen, die beiden vergleichen und gegenüberstellen und uns mit den Vor- und Nachteilen dieser Protokolle befassen
Inhalt
Was LDAP-Authentifizierung ist
Ist SAML eine Alternative zu LDAP?
Was LDAP-Authentifizierung ist
Normalerweise wird das Lightweight Directory Access Protocol verwendet, um Authentifizierungsinformationen wie Login und Passwort zu verfolgen, die später verwendet werden, um den Zugriff auf ein anderes Protokoll oder einen anderen Systemdienst zu ermöglichenEin Benutzer kann nicht auf eine LDAP-Datenbank oder ein Verzeichnis zugreifen, ohne sich vorher zu authentifizieren (um zu beweisen, dass er derjenige ist, für den er sich ausgibt).Die Datenbank enthält normalerweise Informationen über Benutzer, Gruppen und Berechtigungsdaten und sendet angeforderte Daten an verbundene Anwendungen
Die LDAP-Authentifizierung umfasst die Validierung der bereitgestellten Benutzernamen und Passwörter, indem eine Verbindung mit einem Verzeichnisdienst hergestellt wird, der das LDAP-Protokoll verwendetOpenLDAP, MS Active Directory und OpenDJ sind einige Verzeichnisserver, die LDAP auf diese Weise verwenden
Hier ist eine Schritt-für-Schritt-Erklärung des Authentifizierungsverfahrens:
- Der Client (ein LDAP-fähiges System oder eine Anwendung) sendet eine Anfrage zum Zugriff auf Daten, die in einer LDAP-Datenbank gespeichert sind
- Der Client stellt seine LDAP-Server-Benutzeranmeldedaten (Benutzername und Passwort) bereit.
- Der LDAP-Server vergleicht die Anmeldeinformationen des Benutzers mit den wesentlichen Informationen zur Benutzeridentität, die in seiner LDAP-Datenbank gespeichert sind
- Der Client kann auf die angeforderten Informationen zugreifen, wenn die bereitgestellten Anmeldeinformationen mit der gespeicherten Kernbenutzeridentität übereinstimmenDer Zugriff auf die LDAP-Datenbank wird verweigert, wenn die Anmeldeinformationen falsch sind
Die LDAP-Authentifizierung folgt dem Client/Server-ModellIn diesem Fall ist der Client typischerweise ein LDAP-fähiges System oder eine Anwendung, die Daten von einer verwandten LDAP-Datenbank anfordert, während der Server offensichtlich der LDAP-Server ist
Die Serverseite von LDAP ist eine Datenbank mit einem flexiblen SchemaMit anderen Worten, LDAP kann neben Anmelde- und Passwortdaten eine Reihe von Attributen wie Adresse, Telefonnummer, Gruppenbeziehungen und mehr enthaltenDaher ist das Speichern grundlegender Benutzeridentitäten ein häufiger Anwendungsfall für LDAP
Auf diese Weise kann die IT beispielsweise LDAP-fähige Systeme und Anwendungen mit einer verwandten LDAP-Verzeichnisdatenbank verknüpfen, die als maßgebliche Quelle für die Authentifizierung des Benutzerzugriffs dient
Was bewirkt die LDAP-Authentifizierung zwischen einem Client und einem Server?
Wie funktioniert die LDAP-Authentifizierung zwischen einem Client und einem Server? Im Wesentlichen sendet ein Client eine Anfrage nach Daten, die in einer LDAP-Datenbank gespeichert sind, zusammen mit den Anmeldedaten des Nutzers an einen LDAP-ServerAls Nächstes authentifiziert der LDAP-Server die Anmeldedaten des Nutzers anhand seiner primären Nutzeridentität, die in der LDAP-Datenbank gespeichert wirdDer Client erhält Zugriff und erhält die erforderlichen Informationen (Attribute, Gruppenmitgliedschaften oder andere Daten), wenn die vom Benutzer bereitgestellten Anmeldeinformationen mit den Anmeldeinformationen übereinstimmen, die seiner zentralen Benutzeridentität zugeordnet sind, die in der LDAP-Datenbank gespeichert istDer Client wird am Zugriff auf die LDAP-Datenbank gehindert, wenn die bereitgestellten Anmeldedaten nicht übereinstimmen
Ist SAML eine Alternative zu LDAP?
Wir erhalten häufig eine ähnliche Frage wie diese: Wir möchten von der LDAP- zur SAML-Authentifizierung wechseln, ohne dabei Funktionalität einzubüßenIst das möglich?
Leider neinLDAP kann nicht direkt durch SAML ersetzt werdenDies liegt daran, dass SAML für die Interaktion mit Cloud-basierten Servern und Apps entwickelt wurde, während LDAP für die Authentifizierung vor Ort entwickelt wurdeSie bieten sehr unterschiedliche Methoden zur Sicherung des AuthentifizierungsprozessesUm dies besser zu verstehen, ist es wichtig, sich einen Überblick darüber zu verschaffen, was diese Zugriffsprotokolle bewirken
Was ist LDAP?
LDAP ist ein Beispiel für ein VerzeichniszugriffsprotokollIn seiner einfachsten Form ist LDAP (Lightweight Directory Access Protocol) ein Protokoll, das verwendet werden kann, um Elemente in einem Verzeichnis nachzuschlagenLDAP ist ein Back-End-Protokoll, das zwischen einem Server (wie LiquidFiles) und einem LDAP-Server/Verzeichnis (wie Active Directory) auftritt.
LDAP kann auch zur Authentifizierung verwendet werden, und wenn sich jemand beim Server (in diesem Fall LiquidFiles) authentifiziert, versucht der Server, sich beim LDAP-Verzeichnis zu authentifizieren und dem Benutzer bei Erfolg Zugriff zu gewähren
Der Hauptunterschied zu SAML besteht darin, dass - der Server sich um die Authentifizierung bemühtZwischen dem Webbrowser/Outlook-Plug-in oder einem anderen Client und LiquidFiles passiert nichts mit LDAPLDAP findet zwischen dem Server (LiquidFiles) und dem LDAP-Server/Verzeichnis statt
Was ist SAML?
SAML (Security Assertion Markup Language) ist ein Front-End-Protokoll, das für Webbrowser entwickelt wurde, um Single Sign-On (SSO) für Webanwendungen zu ermöglichenSAML verfügt nicht über Suchfunktionen für Benutzer und ist ohne Browser nicht funktionsfähig
Wie funktioniert SAML?
Technisch funktioniert SAML, indem der Webbrowser zum SAML-Server umgeleitet wird, der dann den Benutzer authentifiziert und den Browser mit einer signierten Antwort in der URL zurück zum Server (in diesem Fall LiquidFiles) umleitet
Der Server (LiquidFiles) verifiziert die Signatur mithilfe des Fingerabdrucks des SAML-Serverzertifikats, und bei Erfolg wird dem Benutzer der Zugriff gewährt
Als Ergebnis findet im Gegensatz zu LDAP, wenn sich ein Benutzer mit SAML authentifiziert, kein SAML-Austausch zwischen dem Server (LiquidFiles) und dem SAML-Server stattDas einzige, was passiert, ist, dass der Webbrowser zwischen dem Server (LiquidFiles) zum SAML-Server umgeleitet wird, bevor er zum Server zurückkehrt, um die Authentifizierung abzuschließen
SAML funktioniert durch Senden von Benutzer-, Anmelde- und Attributinformationen zwischen dem Identitätsanbieter und den DienstanbieternJeder Benutzer muss sich nur einmal beim Single Sign-On beim Identitätsanbieter anmelden, und wenn er dann versucht, auf einen Dienst zuzugreifen, kann der Identitätsanbieter dem Dienstanbieter SAML-Merkmale bereitstellenDer Dienstanbieter fordert die Authentifizierung und Autorisierung vom Identitätsanbieter anDer Nutzer muss sich nur einmal anmelden, da beide Systeme dieselbe Sprache sprechen – SAML
Die Konfiguration für SAML muss von jedem Identitätsanbieter und Dienstanbieter genehmigt werdenDamit die SAML-Authentifizierung funktioniert, müssen beide Seiten die exakte Konfiguration haben
LDAP vs. SAML
Sowohl LDAP als auch SAML teilen das Kernziel, eine sichere Benutzerauthentifizierung zu ermöglichen, um Benutzer mit den benötigten Ressourcen zu verknüpfenSie unterscheiden sich jedoch in den von ihnen angebotenen Sicherheitsmaßnahmen für den AuthentifizierungsprozessBeide haben Vor- und NachteileDarüber hinaus werden sich ihre jeweiligen Managementanforderungen im Laufe der Zeit ändern und sehr unterschiedlich sein
LDAP vs. SAML: Ähnlichkeiten
Obwohl es einige deutliche Unterschiede gibt, sind LDAP und SAML SSO grundsätzlich ähnlichBeide dienen demselben Zweck, nämlich dem Benutzerzugriff auf IT-Ressourcen zu erleichternDaher werden sie häufig von IT-Unternehmen gemeinsam eingesetzt und haben sich als feste Größe im Bereich Identitätsmanagement etabliertOrganisationen haben zusätzlich zu ihrem primären Verzeichnisdienst SAML-basierte Single-Sign-On-Lösungen für Webanwendungen verwendet, da die Nutzung von Webanwendungen erheblich zugenommen hat
LDAP vs. SAML: Unterschiede
LDAP und SAML SSO unterscheiden sich in Bezug auf ihre Einflussbereiche kaumNatürlich befasst sich LDAP in erster Linie mit der Vor-Ort-Authentifizierung und anderen ServerprozessenSAML erweitert Benutzeranmeldeinformationen um die Cloud und andere Webanwendungen
Ein wichtiger, leicht zu übersehender Unterschied zwischen den Konzepten von SAML SSO und LDAP ist die Tatsache, dass die meisten Implementierungen von LDAP-Servern dazu motiviert sind, als autoritativer Identitätsanbieter oder Quelle der Wahrheit für eine Identität zu dienenBei SAML-Implementierungen ist SAML meistens nicht die Quelle der Wahrheit, sondern dient eher als Proxy für den Verzeichnisdienst, wodurch der Identitäts- und Authentifizierungsprozess in einen SAML-basierten Ablauf umgewandelt wird
Vor- und Nachteile von LDAP
Ein LDAP-Identitätsanbieter für SSO wird von vielen Dienstanbietern unterstütztDadurch kann ein Unternehmen seinen aktuellen LDAP-Verzeichnisdienst verwenden, um Benutzer für SSO zu verwalten
Ein Nachteil von LDAP ist, dass es nicht für die Verwendung in Verbindung mit Webanwendungen entwickelt wurdeLDAP, das in den frühen 1990er Jahren entwickelt wurde, als das Internet gerade erst an Fahrt gewann, eignet sich besser für Anwendungsfälle wie Microsoft Active Directory und lokale BereitstellungenDa IT-Administratoren immer mehr neuere Authentifizierungsstandards bevorzugen, geben einige Dienstanbieter die Unterstützung für LDAP aufDiese potenziellen Umstellungen sollten beim Vergleich von LDAP- und SAML-SSO-Optionen für Ihr Unternehmen berücksichtigt werden
Vor- und Nachteile von SAML
Der bekannteste Standard für Cloud- und Webanwendungen, SAML 20 (die neueste Version) ist vielseitig, leichtgewichtig und wird von den meisten Plattformen unterstütztEs ist auch eine beliebte Wahl für zentralisiertes Identitätsmanagement
Obwohl es sich um ein allgemein sicheres Protokoll handelt, sind XML-Angriffe und DNS-Spoofing Sicherheitsbedrohungen für SAMLDie Implementierung von Minderungsprotokollen ist ein entscheidender Schritt, wenn Sie beabsichtigen, SAML zu verwenden
Abschließende Gedanken
Obwohl LDAP und SAML unterschiedlich funktionieren, schließen sie sich nicht gegenseitig aus und Sie können beide in Ihrer Umgebung implementierenAußerdem sollte daran erinnert werden, dass LDAP und SAML nur zwei der wichtigsten verfügbaren Authentifizierungsprotokolle sind
Unser Unternehmen hat die letzten 12 Jahre damit verbracht, Lösungen für herausfordernde Probleme für Unternehmenskunden zu finden, mit einem klaren Ziel: "Wir bauen zuverlässige und praktische Identitäts- und Zugriffsverwaltungslösungen." Seitdem haben wir positive Bewertungen von Centrify, CyberArch erhalten , Cyphort, ISACA, Arzinger, Saife usw
Hideez Authentication Service kombiniert alle bestehenden Authentifizierungsmethoden - Passwörter, Einmalpasswörter, starke Zwei-Faktor-Authentifizierung (FIDO U2F), passwortlose Authentifizierung (FIDO2). ) und Single Sign-On (SSO) in einer Lösung, die sich basierend auf der Unterstützung von Hideez Enterprise Server für LDAP und SAML problemlos in die Unternehmensumgebung integrieren lässtIhr IT-Team kann Zeit und Geld sparen und sicher sein, dass jeder Benutzer sicher beim Netzwerk authentifiziert ist und nur Zugriff auf das gewährt wird, was erlaubt ist
Planen Sie eine personalisierte Demo, um mehr über die Rolle von Hideez beim Schutz Ihrer Geschäftsumgebung zu erfahren
