¿Qué es LDAP? Lightweight Directory Access Protocol
LDAP es un protocolo utilizado para consultar y modificar información almacenada en servicios de directorio. Se utiliza habitualmente para organizar usuarios, grupos, atributos y otros objetos de identidad que pueden ser consultados por aplicaciones y sistemas.
¿Qué es LDAP?
LDAP significa Lightweight Directory Access Protocol y es un protocolo utilizado para acceder y administrar información almacenada en servicios de directorio.
Un directorio LDAP puede almacenar información organizada sobre usuarios, grupos, dispositivos y otros objetos. Las aplicaciones pueden consultar esos datos para buscar identidades, atributos o información utilizada en procesos de autenticación y control de acceso.
¿Cómo funciona LDAP?
LDAP organiza la información en una estructura de directorio que puede ser consultada y modificada mediante operaciones definidas por el protocolo.
El cliente realiza una solicitud
Una aplicación o sistema cliente se conecta al servicio de directorio y realiza una operación para buscar, consultar, agregar, modificar o eliminar información según los permisos disponibles.
El directorio procesa la solicitud
El servidor LDAP recibe la operación, consulta su estructura de datos y determina qué información puede devolver o modificar.
El cliente recibe una respuesta
El servidor devuelve los objetos y atributos correspondientes o informa del resultado de la operación solicitada.
LDAP es un protocolo, no una base de datos específica
LDAP define cómo un cliente puede interactuar con un servicio de directorio, pero diferentes productos pueden utilizar implementaciones y estructuras internas distintas.
Define la comunicación
LDAP establece operaciones y estructuras para que clientes y servidores puedan intercambiar información de directorio.
Organiza identidades
Un servicio de directorio puede almacenar usuarios, grupos, dispositivos, atributos y otros objetos organizados jerárquicamente.
Consultan la información
Aplicaciones y servicios pueden utilizar LDAP para consultar identidades y otros datos disponibles en el directorio.
Principales elementos de LDAP
| Elemento | Función | Ejemplo | Característica |
|---|---|---|---|
| Directorio | Almacena objetos e información. | Usuarios y grupos. | Organiza los datos de forma estructurada. |
| Entry | Representa un objeto. | Usuario. | Contiene atributos asociados. |
| DN | Identifica una entrada. | cn=Daniel,ou=usuarios,dc=ejemplo,dc=com | Identifica la ubicación de la entrada dentro del directorio. |
| Attribute | Almacena una propiedad. | mail o uid. | Contiene un tipo y uno o más valores. |
| LDAP Server | Atiende las operaciones LDAP. | Servicio de directorio. | Recibe y procesa solicitudes de clientes. |
¿Qué es un directorio LDAP?
Un directorio LDAP es una estructura organizada que almacena información sobre diferentes objetos y permite consultarlos mediante el protocolo LDAP.
Usuarios
Puede almacenar información asociada con cuentas de usuario, como identificadores, nombres, correos electrónicos u otros atributos.
Grupos
Los grupos permiten organizar diferentes usuarios y pueden utilizarse como parte de las reglas de acceso de una organización o aplicación.
Otros objetos
Dependiendo del directorio, también pueden existir dispositivos, unidades organizativas, servicios y otros tipos de entradas.
¿Qué es una Entry en LDAP?
Una entry o entrada es un objeto almacenado dentro del directorio LDAP. Cada entrada contiene atributos que describen ese objeto.
Identidad
Una entrada puede representar a un usuario, grupo, dispositivo u otro objeto definido por el servicio de directorio.
Atributos
Los atributos contienen información asociada con la entrada, como identificadores, nombres, correos electrónicos o clases de objeto.
Distinguished Name
Cada entrada se identifica mediante un Distinguished Name o DN que indica su posición dentro de la estructura jerárquica del directorio.
¿Qué es un DN en LDAP?
DN significa Distinguished Name y es el nombre que identifica de forma única una entrada dentro del árbol de directorio.
Estructura jerárquica
El DN refleja la ubicación de la entrada dentro de la estructura del directorio mediante componentes como cn, ou y dc.
Ejemplo
Un DN puede adoptar una forma como cn=Daniel,ou=usuarios,dc=ejemplo,dc=com, donde cada componente representa una parte de la jerarquía.
Identificación
El DN permite al servidor y a los clientes referirse de manera precisa a una entrada concreta dentro del directorio.
¿Qué son los atributos de LDAP?
Los atributos son propiedades asociadas con una entrada y contienen los valores que describen el objeto almacenado en el directorio.
Identificador
Atributos como uid pueden utilizarse para almacenar identificadores asociados con una cuenta.
Información de contacto
Otros atributos pueden almacenar información como correo electrónico, nombre, teléfono u otros datos definidos por el esquema del directorio.
Clases de objeto
Las object classes determinan qué atributos y características puede tener una entrada dentro del esquema utilizado.
¿Cómo se utiliza LDAP para autenticación?
Una aplicación puede utilizar un directorio LDAP para verificar las credenciales de un usuario y localizar la información asociada con su cuenta.
Identificación
La aplicación puede buscar la entrada correspondiente al usuario a partir de un identificador como un nombre de usuario o dirección de correo.
Verificación
El sistema puede realizar la operación de autenticación definida por el directorio para comprobar las credenciales proporcionadas.
Información adicional
Después de autenticar, la aplicación puede consultar otros atributos o grupos asociados con el usuario para continuar con sus propias reglas de acceso.
¿Cuál es la diferencia entre LDAP y una base de datos?
LDAP y una base de datos pueden almacenar información, pero fueron diseñados con objetivos y modelos de acceso diferentes.
LDAP
LDAP está orientado a servicios de directorio y a consultas y operaciones sobre estructuras organizadas de identidades y objetos.
Base de datos
Una base de datos relacional, por ejemplo, utiliza tablas y relaciones y puede estar diseñada para operaciones transaccionales complejas y distintos tipos de aplicaciones.
Pueden coexistir
Una organización puede utilizar un directorio LDAP para identidades y bases de datos para almacenar información propia de sus aplicaciones.
¿Qué relación existe entre LDAP y SSO?
LDAP puede utilizarse como fuente de identidades dentro de sistemas que implementan Single Sign-On, aunque LDAP y SSO no representan el mismo concepto.
LDAP
LDAP proporciona un protocolo para acceder a información almacenada en un servicio de directorio.
SSO
Single Sign-On describe una arquitectura o experiencia en la que una autenticación puede permitir acceso a múltiples aplicaciones.
Integración
Un proveedor de identidad puede consultar un directorio LDAP para obtener información de usuarios y utilizarla dentro de una arquitectura de identidad y acceso.
¿LDAP y OpenID Connect son lo mismo?
No. LDAP y OpenID Connect cumplen funciones diferentes dentro de una arquitectura de identidad.
LDAP
LDAP permite consultar y administrar información almacenada en servicios de directorio.
OpenID Connect
OpenID Connect es un protocolo de identidad construido sobre OAuth 2.0 que permite a una aplicación comprobar la identidad de un usuario autenticado.
Pueden integrarse
Un proveedor de identidad puede utilizar un directorio LDAP como fuente de información interna mientras utiliza OpenID Connect para comunicarse con aplicaciones compatibles.
¿Cómo proteger un servidor LDAP?
Un servidor LDAP que almacena información de identidades debe protegerse mediante controles de acceso, transporte seguro y una correcta administración de las cuentas y permisos.
Conexiones seguras
Las comunicaciones entre clientes y servidores deben protegerse adecuadamente para evitar la exposición de credenciales y datos sensibles.
Permisos
Los usuarios y aplicaciones deben disponer solamente de los permisos necesarios para consultar o modificar la información del directorio.
Cuentas administrativas
Las cuentas con privilegios elevados requieren protección adicional porque pueden modificar identidades, grupos y configuraciones importantes del directorio.
¿Cómo se utilizan los grupos en LDAP?
Los grupos permiten organizar usuarios y otros objetos y pueden utilizarse como parte de las decisiones de acceso realizadas por las aplicaciones.
Organización
Una organización puede agrupar usuarios según departamentos, funciones, equipos o necesidades administrativas.
Permisos
Una aplicación puede consultar la pertenencia a grupos y utilizar esa información para determinar qué funciones o recursos puede utilizar un usuario.
Administración
Gestionar usuarios mediante grupos puede facilitar determinados cambios de permisos cuando varias identidades comparten las mismas necesidades de acceso.
¿Qué se necesita para configurar LDAP?
La configuración depende del producto de directorio utilizado y de la arquitectura en la que se integre.
Estructura del directorio
Deben definirse las unidades, entradas, object classes y atributos que formarán la estructura de información utilizada por el servicio.
Usuarios y grupos
Las cuentas y grupos deben crearse con los atributos y relaciones necesarios para que las aplicaciones puedan consultarlos.
Aplicaciones
Los clientes deben configurarse con el servidor LDAP, mecanismos de conexión, búsquedas y credenciales apropiadas para realizar las operaciones requeridas.
¿LDAP reemplaza todos los sistemas de identidad?
No. LDAP es una tecnología de directorio y puede formar parte de una arquitectura de identidad, pero no sustituye automáticamente todos los protocolos y componentes utilizados para autenticación, autorización o Single Sign-On.
Función específica
LDAP está orientado al acceso a información de directorio y no define por sí solo toda la arquitectura de identidad de una organización.
Integraciones
Un sistema moderno puede combinar LDAP con proveedores de identidad, protocolos de autenticación y herramientas de control de acceso.
Seguridad
La protección del directorio depende también de la configuración del servidor, las conexiones, las cuentas administrativas y los permisos establecidos.
LDAP: conceptos principales
| Concepto | Significado | Ejemplo | Función |
|---|---|---|---|
| LDAP | Lightweight Directory Access Protocol. | Protocolo de directorio. | Consultar y administrar información de directorio. |
| Entry | Objeto almacenado. | Usuario. | Representar una identidad u objeto. |
| DN | Distinguished Name. | cn=Daniel,ou=usuarios,dc=ejemplo,dc=com. | Identificar una entrada dentro del directorio. |
| Attribute | Propiedad de una entrada. | uid, mail o cn. | Almacenar información sobre el objeto. |
| Directory Server | Servidor que ofrece el servicio LDAP. | Servicio de directorio. | Procesar operaciones de clientes LDAP. |
Guías relacionadas sobre identidad y autenticación
Elige el tema que quieras profundizar:
Preguntas frecuentes sobre LDAP
LDAP significa Lightweight Directory Access Protocol y es un protocolo utilizado para acceder y administrar información almacenada en servicios de directorio.
Sirve para consultar y administrar información de directorio, como usuarios, grupos, atributos y otros objetos de identidad.
Es una estructura organizada que almacena información sobre usuarios, grupos, dispositivos y otros objetos que pueden consultarse mediante LDAP.
Es una entrada u objeto almacenado dentro del directorio que contiene atributos utilizados para describirlo.
DN significa Distinguished Name y es el nombre que identifica una entrada de forma única dentro de la estructura del directorio.
Sí. Una aplicación puede utilizar un directorio LDAP para localizar una cuenta y comprobar las credenciales del usuario mediante el mecanismo de autenticación correspondiente.
No. LDAP es un protocolo para acceder a información de directorio, mientras que SSO describe una arquitectura o experiencia en la que una autenticación puede permitir acceso a múltiples aplicaciones.
No. LDAP se utiliza para acceder a información de directorio, mientras que OpenID Connect es un protocolo de identidad construido sobre OAuth 2.0.
¿Qué es SSO?
Continúa aprendiendo sobre identidad y acceso y descubre cómo Single Sign-On permite centralizar la autenticación entre múltiples aplicaciones.
Ver guía →