free bootstrap themes

2019/10/16

LDAP≠SSO

Mobirise

LDAP(Lightweight Directory Access Protocol)即轻量目录访问协议,是一个开放、广泛被使用的工业标准(IEFT、RFC),在1993年就被提出。企业级软件也通常具备"支持LDAP"的功能,比如Jira, Confluence, openVPN等,企业也经常采用LDAP服务器来作为企业的认证源和数据源。但是大家比较常见的认识误区是,可以使用LDAP来实现SSO。我们可以先分析一下它的主要功能点或场景:

Mobirise



当LDAP作为数据源时,对外通过LDAP Search以及LDAP Modify协议来进行数据同步;当作为认证源时,通过LDAP Bind协议来进行身份认证。

但是SSO的定义是单次登录(或者只输入一次账号密码)就可以访问多个应用,本质上是B/S架构的,也就是说需要借助浏览器才能实现SSO功能,而LDAP更适合于C/S架构的登陆,通过LDAP其实并不能做到SSO,用户必须还得再次输入密码. LDAP只是提供了统一管理用户/密码的功能(即认证源)。

所以,LDAP看似适用性比较广,但它真的适合每个企业吗?企业需要先思考几个问题:

使用的应用或系统是否以C/S架构为主?


  • 用LDAP还是其他SSO系统,得取决于对接的应用是B/S架构的还是C/S架构的。比如像OpenVPN这种C/S架构,它本身的登陆是没有浏览器的,所以无法通过SSO协议对接(玉符自己用的VPN、SSH、Wifi等对接的就是LDAP扩展)。因为LDAP是上一个时代的产物,针对典型的C/S软件架构,发明初衷就没有SSO的概念,而是为了存储有层级关系的目录结构,基本不支持现在流行的B/S架构,需要用户重复输入密码。

准备使用什么目录去实现LDAP?开源的还是商业的


  • 实现LDAP协议的服务器有多种选择,例如Active Directory,OpenLDAP,Apache Directory Studio或者其他商业版服务,如果存储的信息量比较大或者对可用性与性能有更高要求,那么是建议用商业版的。

打算投入研发精力去开发新功能吗?


  • 企业人员数量超过50后,很多新的需求就会出现,例如员工自助密码服务(Self-service Password)等,很多LDAP服务器是不自带这些功能的,都需要IT人员找到对应解决方案和实现。

是否有专人去维护?


  • 企业快速增长、组织结构变动,都会带来大量的维护工作量,更不用说这些服务器要的长期维护升级工作。

对安全、加密的需求?


  • LDAP发明的时候还没有Token的概念,在协议中需要客户端传输明文密码到服务器进行验证,对于现代化的企业部署环境来说,是非常不安全的。

此外,合规、数据可视化等,这些新的企业需求,是LDAP难以达成的。如果只是需要一个类似数据库的多层级存储服务,LDAP则可以充分满足。

作为专业的IDaaS(身份即服务)提供商,我们除了提供全种类SSO的对接,还完美支持LDAP的对接,企业能够根据服务的架构类型(C/S或B/S)对接所有的应用,员工只需要一套账号密码,即可访问所有应用,不仅体验了极致的便利性,同时兼顾了高安全性。我们提供的LDAP拓展功能(配置详情见图1),有以下特点:

  • 按99.99%的超高可用性和高性能进行分布式设计,免去企业大量的维护成本

  • 默认提供了安全加密的LDAPs(LDAPS = LDAP + TLS, 类似于 HTTPS = HTTP + TLS,加密网络传输的所有内容),大大提高验证过程的安全性

  • 功能完整,支持员工自助密码服务、个人信息更新等

  • 所有验证过程可追溯,可视化报表输出等满足企业各类合规要求


咨询热线

400-110-9838

市场合作

marketing@yufuid.com

400-110-9838