Lightweight Directory Access Protocol（一般にLDAPとして知られる）は、ネットワークを介してディレクトリ情報にアクセスし、整理し、管理するために使用されるアプリケーションプロトコルです。これは、Microsoft Active Directory、OpenLDAP、その他のエンタープライズディレクトリシステムなどのディレクトリサービスを照会および変更するためによく使用されます。LDAPは、アプリケーションとサービスがユーザーを認証し、IDを検証し、集中型ディレクトリから情報を取得するための標準化された方法を提供します。
ディレクトリ情報ツリーは、LDAPディレクトリ内のすべてのエントリを整理する階層構造です。これは家系図のように配置されており、部門、地域、ユーザー、デバイス、その他のリソースを表すブランチがあります。この構造は、組織の構成を反映していることが多く、管理者がIDデータを簡単に見つけて管理できるようにします。
LDAPのすべてのエントリは、識別名によって一意に識別されます。DNは、DIT内でエントリがどこにあるかを示す完全なアドレスのようなものです。ユーザーの共通名、組織単位、ドメインなどの複数の属性で構成されています。各DNは一意であるため、LDAPはディレクトリ内のどこにある個々のエントリでも確実に参照および認証できます。
エントリは、LDAPに保存される個々のレコードです。これらのレコードは、ユーザーアカウント、グループ、アプリケーション、デバイス、サービスプリンシパル、または共有リソースを表すことができます。各エントリは、独自の属性セットを持つオブジェクトとして扱われ、アプリケーションがID情報を一貫して参照できるようにします。
属性は、各エントリ内に保存される詳細またはプロパティです。一般的な例には、ユーザー名、部門、電話番号、メールアドレス、役職などがあります。これらの属性は、システムがユーザーをどのように識別すべきか、またはネットワーク内でどのような権限を持つべきかを判断するのに役立ちます。
スキーマは、許可されるオブジェクトクラスと属性を概説することにより、ディレクトリの構造を定義します。これにより、ディレクトリに入力されるデータが一貫したフォーマット、命名、およびルールに従うことが保証されます。スキーマのおかげで、LDAPディレクトリは重複するフィールド、互換性のないデータ型、および構造的な不整合を回避します。
LDAPは、IDおよびリソース情報を保存する集中型ディレクトリサービスと連携します。これらのサービスにより、組織は各システムを個別に更新する代わりに、1つの場所からユーザー、グループ、および権限を管理できます。この集中化により、ユーザープロビジョニング、アクセス制御、および従業員が退職する際の非アクティブ化が簡素化されます。
LDAPはクライアントサーバーアーキテクチャに基づいて動作します。アプリケーションまたはデバイスであるクライアントは、認証や検索クエリなどのリクエストを送信します。LDAPサーバーはこれらのリクエストを処理し、必要なデータで応答します。このモデルにより、ネットワーク上の複数のアプリケーションが同じIDソースを使用できます。
LDAPは、RFC 4511の下でInternet Engineering Task Forceによって定義されており、さまざまなシステムやベンダー間で一貫して動作することを保証します。プロトコルが標準化されているため、異なるツール、サービス、およびオペレーティングシステムはLDAPディレクトリと確実に通信でき、互換性の問題を軽減します。
LDAPディレクトリは、組織内での位置に基づいてエントリを論理的に整理するツリー状の構造に従います。各エントリは、階層内での位置を反映する識別名によって識別されます。この構造により、ユーザー、デバイス、およびリソースの効率的な検索、フィルタリング、およびグループ化が可能になります。
LDAPは、主に認証、認可、リソース管理のためにディレクトリ情報にアクセスし、管理するために使用されるプロトコルです。組織のデジタル電話帳のようなものと考えることができ、ユーザー名、パスワード、グループ、権限などのユーザー詳細が集中管理され、迅速に検索できます。企業はLDAPに依存して、従業員の内部システムへのアクセスを管理し、複数のアプリケーション間でIDデータの一貫性を保っています。
典型的なLDAPプロセスは次のとおりです。
クライアントリクエスト
ユーザーデバイスやアプリケーションなどのクライアントは、ネットワークポートを介してLDAPサーバーに接続します。この接続は、ユーザーがログインしたり、リソースへのアクセスが必要になったりしたときに自動的にトリガーされることがよくあります。
バインド操作
IDを証明するために、クライアントは識別名 (DN) に関連付けられた資格情報を含むバインド要求を送信します。サーバーは、クライアントが正当であることを確認してからアクセスを許可するために、この情報を検証します。
ディレクトリ操作
認証されると、クライアントはユーザー情報の検索、連絡先の詳細の読み取り、グループメンバーシップの取得、ディレクトリエントリの更新などのディレクトリタスクを実行できます。これらの操作により、アプリケーションは権限とユーザーロールをリアルタイムで検証できます。
アクセス制御
LDAPサーバーは、認証されたユーザーが見たり実行したりできることを決定するために、内部アクセス制御ルールをチェックします。アクセスは、グループメンバーシップ、部門、または職務ロールによって異なる場合があります。制限された権限を持つユーザーは基本的な属性のみを表示できる場合がありますが、管理者はエントリを変更または削除できます。
アンバインド操作
クライアントがリクエストを完了すると、接続を閉じてセッションを終了するためにアンバインド要求を送信します。これにより、ディレクトリのパフォーマンスが効率的かつ安全に保たれます。
LDAPは、ユーザーIDを管理し、アクセス制御を適用し、ネットワーク環境全体で認証を合理化するための集中型でスケーラブルな方法を提供します。この一貫性により、管理者の作業負荷が軽減され、セキュリティが向上し、ユーザーが必要なシステムに遅延なくアクセスできるようになります。
多くの人がLDAPとActive Directoryを同じ意味で使いますが、これらは2つの異なるものを指します。これらは連携して機能しますが、異なる役割を果たします。
Active Directoryは、ユーザー、コンピューター、プリンター、グループ、ポリシーなどのIT資産を整理するために使用されるMicrosoftのディレクトリサービスです。ID情報を保存し、Windows環境全体で認証を管理します。
LDAPは、Active Directoryのようなディレクトリにアクセスしてクエリを実行するために使用される言語またはプロトコルです。LDAPは、Linuxベースのディレクトリ、OpenLDAP、またはカスタムIDストアを含む他のシステムとも通信できます。LDAPはベンダーニュートラルですが、Active DirectoryはMicrosoft独自のものです。
要するに、Active Directoryはディレクトリデータベースであり、LDAPはそれと対話するために使用されるプロトコルの1つです。これらは補完的であり、競合するものではありません。
LDAPは中央認証ソースとして機能します。ユーザーがネットワークまたはアプリケーションにログインすると、その資格情報がディレクトリに対して検証されます。バインド操作が成功すると、アクセスが許可されます。より強力な保護のために、組織はSASLまたはLDAPSを使用して転送中のデータを暗号化できます。
認証されると、LDAPはユーザーがアクセスできるリソースを決定します。グループ、ロール、および属性は、どの権限が適用されるかを定義し、ロールベースのアクセス制御をサポートします。管理者は、ディレクトリのエントリに応じて、読み取り、書き込み、または制限された権限を割り当てることができます。
大規模な企業では、LDAPはすべてのユーザーデータを単一の管理されたディレクトリに集約します。役職、部門、メール、グループメンバーシップなどのユーザー属性は1か所に保存されます。従業員が入社または退職する際、管理者は即座にアクセスをオンボーディングまたは取り消すことができます。この集中化により、重複が減り、システム全体で一貫性が確保されます。
LDAPは、プリンター、共有ドライブ、サーバー、メールリストなどのネットワークリソースも管理できます。アクセス権限をLDAPエントリに直接関連付けることで、リソース管理が簡素化されます。
LDAPは標準化されているため、メールサーバー、VPN、ファイル管理ツール、および多くのエンタープライズグレードシステムと簡単に統合できます。これにより、データサイロが排除され、ID管理が予測可能になります。
LDAPは、シングルサインオンソリューションの基盤となるIDソースとして機能することがよくあります。SSOを使用すると、ユーザーは一度認証するだけで、資格情報を繰り返し入力することなく、複数のアプリケーションにシームレスにアクセスできます。
ユーザーがログインすると、LDAPがそのIDを検証します。その後、SSOプロバイダーは、信頼されたアプリが受け入れることができる時間制限付きトークンを発行します。SAMLやOAuthなどのテクノロジーは、LDAPが舞台裏でIDデータを提供しながら、このエクスペリエンスをサポートします。
このアプローチにより、セキュリティが強化され、パスワードの疲労が軽減され、複数のアプリケーションでのユーザーエクスペリエンスが向上します。
LDAPディレクトリは、異なる組織のユーザーが既存の資格情報を使用して共有システムに安全にアクセスできるようにするIDフェデレーションでも頻繁に使用されます。
Scalefusion OneIdPは、シンプルさと堅牢性の両方を求める企業向けに構築された、最新のクラウドベースのIDおよびアクセス管理ソリューションです。従来のIAMツールとは異なり、OneIdPは統合エンドポイント管理 (UEM) とシームレスに統合され、ITチームにユーザーIDの管理、デバイスのセキュリティ保護、コンプライアンスの適用を行うための単一プラットフォームを提供します。
組み込みのシングルサインオン (SSO) により、ユーザーは1回のログインですべての仕事用アプリに安全にアクセスでき、ITは強力な認証ポリシーを適用できます。これにより、セキュリティが向上し、ログインの煩わしさが解消され、シームレスな作業エクスペリエンスが実現します。
IAM、SSO、UEMを統合することで、OneIdPはアクセスを許可する前にユーザーとデバイスの両方を検証します。これにより、リスクが軽減され、IT運用が合理化され、デスクトップ、ラップトップ、モバイルデバイス全体の管理が簡素化されます。
Scalefusion OneIdPは、従来のディレクトリサービスと最新のクラウドID要件を橋渡しすることで、LDAPの価値を拡張します。既存のインフラストラクチャを置き換えることなく、組織が認証を統合し、アクセスを合理化し、セキュリティを最新化するのに役立ちます。OneIdPがLDAPと連携してIDおよびアクセス管理を改善する方法は次のとおりです。
既存のオンプレミスActive DirectoryをScalefusion OneIdPに接続することで、内部ドメインコントローラーを再構築することなく、最新のフェデレーションログイン機能を有効にできます。OneIdPは、MFAやコンテキストポリシーなどのクラウドベースの認証チェックを適用しながら、ローカルADを主要なIDソースとして尊重します。これにより、組織は日々のワークフローを中断することなく、より強力なセキュリティを段階的に導入できます。
Scalefusion OneIdPは、サードパーティまたはカスタム構築されたIDストアを含む複数のLDAP準拠ディレクトリと統合します。これにより、レガシー環境を維持しながら、認証ロジックをクラウドに統合する自由が得られます。複数のIDサイロを手動で管理する代わりに、OneIdPは制御、可視性、およびポリシー適用を集中化し、分散システム全体の複雑さを軽減します。
従業員は慣れ親しんだユーザー名とパスワードでログインを続けることができ、OneIdPはそれらの資格情報をクラウドアプリ、SaaSプラットフォーム、およびリモートサービスにフェデレーションします。これにより、最新のアプリケーションとハイブリッドワークイニシアチブのスムーズな導入が保証されます。ITチームは、ユーザーに複数の資格情報の管理を強制することなく、デバイスや場所全体で一貫したアクセスエクスペリエンスを提供できます。
ディレクトリのエントリ、ユーザー属性、およびグループメンバーシップは、LDAPとOneIdP間で自動的に同期されます。従業員が入社、役割変更、または退職する際、これらの更新は接続されたアプリケーション全体に即座に伝播します。これにより、孤立したアカウントが防止され、アクセスドリフトが最小限に抑えられ、反復的な手動プロビジョニングタスクの必要がなくなります。
LDAPとScalefusion OneIdPは連携して、ハイブリッド環境をサポートし、セキュリティ体制を改善し、ユーザーライフサイクル管理を簡素化する統合されたIDエクスペリエンスを提供します。
Empower your organization's security at every endpoint — manage digital identities and control user access to critica...
続きを読むAccess Management streamlines operations by unifying authentication, authorization, and auditing in a single solution...
続きを読むSingle Sign-on (SSO) is an authentication method allowing enterprise users to access multiple applications and websit...
続きを読む