Intro Technos Internet. Intro Technos Internet. Intro Technos Internet. Intro Technos Internet. Intro Technos Internet. Intro Technos Internet

Transcription

1 2006 / Introduction LDAP Protocole LDAP Modèle de données Modèle fonctionnel Modèle de sécurité Modèle de duplication Applications pratiques Au programme 2 Introduction 3 Des exemples d annuairesd Se connecter à un serveur web est résolu par le DNS Trouver l d un correspondant dans un carnet d adresses 4 Qu est est-ce qu un un annuaire? Similaire à une base de données Stockage de données Consultation spécialisée Dédié à des informations relativement «stables» Dédié à l extraction d information Pas prévu pour des écritures fréquentes Rapport lecture/écriture plus important que pour une BDD 5 DNS est un annuaire L information est distribuée Hiérarchie Service rendu Conversion nom adresse IP Conversion adresse IP nom 6 1

2 LDAP est un annuaire Exemples de données stockées Coordonnées de personnes Identifiants d applications URL Photos 7 «Historique» des annuaires Bases utilisateurs /etc/passwd (Unix) Internet DNS Service de nommage Contacts dédiés à des applications Lotus cc:mail sendmail (/etc/aliases) Microsoft Exchange Internet Bigfoot WhoWhere système Microsoft Active Directory multi-usages X.500 WHOIS++ LDAP (1993) 8 LDAP 9 LDAP Services définis: Protocole Comment accéder à l annuaire Modèle fonctionnel Comment accéder à l information contenue dans l annuaire Modèle de données Comment organiser et référencer l information Modèle de duplication Comment répartir les informations sur plusieurs serveurs Modèle de sécurité Comment sécuriser l accès et les données 10 LDAP X.500 Initié par les opérateurs télécoms pour interconnecter leurs annuaires Standard de l OSI Était destiné à devenir LE standard d annuaire LDAP dérive de X.500 Simplifié Adapté à TCP/IP LDAP est un standard IETF LDAPv1: RFC 1487 (1993) Frontal d accès à un annuaire X.500 seulement LDAPv2: RFC 1777 (1995) LDAP devient un annuaire natif avec sa propre base de données LDAPv3: RFC 2251 (1997) 11 Exemples d applications LDAP Annuaire Carnet d adresse partagés Authentification centralisée sur divers systèmes 12 2

3 Protocole LDAP 13 Protocole LDAP Opérations possibles La communication client-serveur Connexion bind / unbind / abandon Recherche search / compare Ajout / modification add / delete / modify / rename 14 Opérations possibles Protocole LDAP La communication serveurserveur Synchronisation (replication service) Créer des liens pour relier les serveurs (referral service) Serveur dupliqué Serveur principal Client Serveur «referral» 15 Serveur bind Résultat bind search résultat 1 résultat 2 résultat n résultat search unbind Résultat bind Client / serveur Client Plusieurs requêtes possibles par connexion Plusieurs messages de réponses possibles pour une requête 16 Modèle de données 17 Modèle de données Éléments L Entrée est l élément de base Contient les informations sur un objet de l annuaire Les informations sont représentées par des attributs Décrivent les caractéristiques de l objet Possèdent un type Possèdent une ou plusieurs valeurs Toute sorte de classe d objet peut être représentée Le schéma de l annuaire définit la liste des classes d objets qu il connaît 18 3

4 Classes d objetsd Définit par: Un nom (identifiant) Exemple: "commonname" Un OID (Object IDentifier) qui l identifie aussi Exemple: "cn" Des attributs obligatoires & optionnels Un type Exemples: Une organisation (o) Ses départements (ou) Son personnel (organizationalperson) Ses imprimantes (device) Ses groupes de travail (groupofnames) 19 Classes d objetsd Héritage «top»: la classe au sommet de toutes les classes Chaque objet hérite des attributs de l objet dont il est le fils organizationalunit top Person OrganizationalPerson inetorgperson 20 Classes d objetsd Type d une classe Structurelle Objets basiques de l annuaire Auxilliaire Objets permettants d ajouter des informations à des objets structurels Abstraite Objets basiques de LDAP, comme «top» ou «alias» top: sommet des classes alias: lien vers des données d une autre branche 21 Types Hiérarchisés aussi Exemple: sn (surname), cn (commonname) sont des sous-types de Name 22 Personne1 Personnes Personnes Modèle de données Organisation Personnes Services Salles Service1 Services Services Classification des données Hiérarchique Directory Information Tree (DIT) Salle1 Salle1 Chaque nœud: correspond à une entrée Au sommet: l entrée Suffix ou RootEntry ou BaseDN Définit l espace de nommage dont le serveur a la gestion 23 Modèle de données Nommage Distinguished Name (DN) nom complètement qualifié désignant une entrée Un DN est décomposé en Relative Distinguished Names (RDN) 24 4

5 Le DN de Sylvain Vernois dn: cn=sylvain Vernois,,, dc=ensicaen, dc=fr est un RDN Exemple Exemples d attributs: cn: Sylvain Vernois ou: dri mail: sylvain.vernois@ensicaen.fr ou=ecole cn=julien Mahier dc=ensicaen, dc=fr cn=sylvain Vernois 25 Alias Objectif: Faire un lien sur une autre entrée Dans l annuaire courant Dans un autre annuaire, sur un autre serveur ou=latems cn=sylvain vernois Serveur LDAP1 Serveur LDAP2 ou=latems cn=sylvain vernois 26 Modèle fonctionnel 27 Interrogation de l annuairel Pas d accès direct à une entrée Utilisation systématique d une requête 28 Interrogation de l annuairel Paramètres de la requête Base object Où commencer la recherche Scope Comment faire la recherche derefaliases Suivre les alias ou non sizelimit TimeLimit attronly Search filter List of attributes Que l on souhaite connaître 29 Interrogation de l annuairel Scope search base=«,, dc=ensicaen, dc=fr» Scope=base Scope=onelevel Scope=subtree 30 5

6 Mises à jour Opérations add, rename, modify, delete Le schéma peut être contrôlé lors des mises à jour Contrôle d intégrité 31 Gestion des données Mises à jour Par l administrateur Par le fournisseur de données Exemple: Service du personnel dans une entreprise Par l utilisateur final Adresse, Téléphone Par les applications l exploitant Enregistrement des préférences Attention à la fréquence de mise à jour! Attention à garder une qualité d information Un utilisateur ne doit pas saisir n importe quoi 32 Préfixe ldap:// URL LDAP Forme ldap://ldap.ensicaen.fr:389/,sn=vernois 33 Modèle de sécurité 34 Authentification Lors de la connexion Anonymous Administrateur Mot de passe transmis en clair ou chiffré (ssl / tls) Certificat ssl (clefs publiques/clefs privées) SASL Simple Authentification and Security Layer RFC 2222 Mécanisme externe d authentification (Kerberos, ) sous forme de plugins 35 Contrôle d accd accès Droits d accès donnés à l utilisateur Lecture / écriture / recherche / comparaison Sous forme d ACL Authorisation Control List Droits par utilisateur Droits par groupe 36 6

7 Modèle de duplication 37 Modèle de duplication Objectifs Palier à une panne de l un des serveurs Palier à une surcharge du service Load balancing QoS Rapprocher le serveur des utilisateurs Cas d une organisation disséminée 38 Modèle de duplication Principe En temps réel ou à heure fixe Duplication de l arbre entier ou d un sous arbre Duplication via des filtres «Que les objets de type personne» «Que les attributs non confidentiels» Mise à jour totale ou incrémentielle 39 Applications pratiques 40 Pages blanches Exploitation d un annuaire type «pages blanches» Informations stables Nom, prénom, adresse, téléphone Objectif originel de X.500 Recherches multicritères Recherche en «annuaire inversé» possible 41 Utilisation des annuaires Gestion du personnel En entreprise Données «publiques» Nom, Prénom Coordonnées personnelles Coordonnées entreprises» Poste, , bureau Service, Département Création par le service du personnel Mise à jour par les employés ensuite» Via logiciels clients» Via frontal «web» 42 7

8 En entreprise Utilisation des annuaires Gestion du personnel Données «confidentielles» Hiérarchie Type de contrat Salaire Gestion par le service du personnel 43 En entreprise Authentification unique Gestion des mots de passe Les mots de passe / certificats sont stockés dans l annuaire L utilisateur s identifie une fois à la connexion Si un login/mot de passe est nécessaire ensuite, c est l annuaire qui fournit automatiquement l information à l application / au serveur Moins contraignant pour l utilisateur Plus facile pour l administration globale 44 Logiciels intégrant les annuaires Exemples Messagerie Microsoft Outlook Netscape Communicator Mozilla Communication Netmeeting Web 45 8