Utilisation d'OpenLDAP

Pour réaliser le déployement d'un service LDAP, nous allons utilisé OpenLDAP.

OpenLDAP est un serveur LDAP open-source permettant de mettre en place un service LDAP. Dans les parties suivantes, nous décrirons les principales tâches à réaliser pour déployer un service LDAP.

Etape 1 - La conception

La première étape à réaliser pour déployer un service d'annuaire LDAP est la conception. Cette étape consiste à déterminer :

• la nature des données
• l’utilisation que l’on compte en faire
• la façon de gérer le tout

Imaginons l'exemple suivant:

• une organisation: Ecole Ingénieurs 2000
• qui se situe à l’ UMLV, à Paris, en france
• qui se compose de :
  • filières (MFPI, GM, IR, …)
  • groupes (IR1, IR2, MFPI4, …)
  • personnes (Jean, Paul, Ziggy, …)

On obtient le DIT suivant:

DIT de l'exemple

Une fois le DIT définit, on peut passer à l'étape suivante.

Etape 2 - Déployer le serveur

Cette seconde étape consite à installer et remplir le serveur LDAP. Pour cela, nous devons :"

• installer le serveur OpenLDAP
• créer un compte administrateur
• ajouter les entrées en suivant le DIT

Pour réaliser l'ensemble de ces opérations, je vous recommande d'effectuer le tutorial suivant: http://doc.ubuntu-fr.org/slapd.

En suivant les étapes décrit dans le tutorial cité précedemment, vous aurez déployé votre service LDAP.

Sécuriser le service

Utilisation des ACL

Pour sécuriser le service mis en place précédemment, nous pouvons utiliser des ACL. Les ACL permettent de définir des règles d'accès aux données pour les utilisateurs.

Les ACL fonctionnent de manière identique aux ACL sous UNIX. Pour mettre en place des règles d'accès, il faut étudier le fichier de configuration /etc/ldap/slapd.conf (emplacement par défaut). Suivez l'exemple suivant pour mettre en place vos règles d'accès : http://www.zytrax.com/books/ldap/ch5/step2.html#step2-access.

Les différents niveaux d'accès

Cryptage des communications

Pour crypter les communications du service LDAP, je vous recommande ce tutorial http://edoceo.com/liber/network-openldap.

Avec ce dernier, vous apprendrez à configurer votre service LDAP en mode TLS.

Aller plus loin

Les autres serveurs LDAP

OpenLDAP n'est pas le seul serveur LDAP. Il en existe une multitude.

• TinyLDAP
• Apache Directory Server
• Oracle Internet Directory
• Sun Java System Directory Server
• ...

Les API LDAP

Pour développer des applications clientes utilisant des données issues d'un serveur LDAP, il existe différentes API dans plusieurs langages.

• API d’OpenLDAP en C
• Sun ONE directory SDK en C et Java
• Mozilla Directory SDK en Java
• Net::LDAP en Perl
• API python LDAP en Python
• API php LDAP en PHP
• ...

Les évolutions possibles

LDAP pourrait devenir un serveur centralisé regroupant toutes les informations et être utilisé comme un système Single Sign-On. Comme par exemple Microsoft avec Live ID ou Google avec Google Account.

Mais cela introduirait des problèmes de sécurité, car il suffit de pirater un compte pour pouvoir accéder à toutes les applications demandant une identification.