LDAP vs. Active Directory: Qual é a Diferença?

O que é o LDAP?

LDAP (Lightweight Directory Access Protocol) é um protocolo que implementa o serviço de diretório da Microsoft (Active Directory) para sistemas operativos Windows. O LDAP é um padrão da indústria e é utilizado por muitas organizações para armazenar informações sobre utilizadores, computadores e outros objetos.

O protocolo LDAP preocupa-se principalmente com a troca de informações entre clientes e servidores. Estas informações podem incluir desde detalhes de contas de utilizador até informações de contacto. O LDAP também é utilizado para serviços de diretório, que permitem o armazenamento e a recuperação de informações num local central.

O que é o Active Directory?

O Active Directory é um serviço de diretório que a Microsoft desenvolveu para redes Windows. Fornece um local central para gerir utilizadores, grupos, computadores e outros recursos de rede.

O Active Directory também permite que os administradores gerem a segurança, permissões e outras definições para os recursos de rede. O principal objetivo do Active Directory é armazenar informações de utilizadores numa base de dados centralizada. O LDAP fornece acesso a essa base de dados e autentica os utilizadores da rede local para acederem aos recursos de rede.

O Active Directory é composto por objetos, que se dividem em três categorias:

• Pessoas inclui grupos de utilizadores e as suas contas.
• Serviços pode incluir o e-mail.
• Recursos vários equipamentos (scanner, impressora, etc.).

O principal objetivo do Active Directory é controlar e gerir estes objetos, bem como fornecer os seus dados a sistemas externos. O Lightweight Directory Access Protocol inclui uma série de operações de diretório. Para as aceder, é necessário estar ligado à rede correspondente. A ligação ao diretório é realizada através da autenticação do utilizador.

O próximo passo ao trabalhar com o Diretório é utilizar a Pesquisa. Esta operação envolve vários parâmetros: a base de pesquisa – ou seja, onde a pesquisa de dados começa; a profundidade da pesquisa – a área da pesquisa; e o filtro de pesquisa – a seleção dos objetos do Diretório a partir da área de pesquisa. A alteração de dados é possível com a operação de Modificação. Esta inclui adicionar, copiar, mover e eliminar contas.

O que são Florestas, Árvores e Domínios no Active Directory?

A estrutura do Active Directory inclui os seguintes componentes principais:

• domínio é um grupo de objetos (utilizadores, computadores, etc.). É a unidade administrativa principal do Active Directory. Pode configurar regras de acesso e políticas de interação com outros domínios (relações de confiança) para cada domínio.
• unidade organizacional (OU) é um contentor opcional e o mais pequeno possível. Pode agrupar objetos de domínio (outros contentores, contas de utilizador e computadores) neste contentor, se necessário. A OU pode ser utilizada para definir políticas de grupo e acesso administrativo para um conjunto de recursos dentro do mesmo domínio.
• árvore de domínio é uma coleção de domínios agrupados numa estrutura hierárquica com um espaço de nomes disjunto.
• floresta é um contentor de nível superior que inclui todos os domínios de cada instância específica do Active Directory.

Portanto, tem de haver pelo menos uma floresta, uma árvore e um domínio na hierarquia do Active Directory.

Cada domínio tem pelo menos um servidor configurado com a função de controlador de domínio, que executa os serviços do AD. Este servidor armazena informações dos objetos do domínio e é responsável pela pesquisa no catálogo, pelo início de sessão do utilizador e pela autenticação.

O controlador de domínio que contém os dados dos objetos na floresta do AD é chamado de catálogo global. Este catálogo armazena um conjunto completo de atributos dos objetos do domínio e uma réplica parcial dos atributos principais de todos os outros domínios (cuja lista pode ser personalizada). Isto permite que as informações sejam encontradas rapidamente, independentemente da sua localização física em diferentes domínios.

A floresta requer pelo menos um catálogo global. O primeiro controlador de domínio com a função de serviços de domínio do Active Directory é atribuído por predefinição. Para os protocolos LDAP e LDAPS, as portas TCP 3268 ou 3269 são utilizadas para ligar ao catálogo global.

Como funciona o Active Directory?

Os serviços do Active Directory fazem parte do sistema operativo Microsoft Windows Server e são instalados como uma ou mais das suas funções. A função principal é a dos Serviços de Domínio do Active Directory (AD DS), que é utilizada para organizar todos os objetos de rede numa estrutura lógica segura

O esquema hierárquico resultante é independente da localização física dos objetos e da topologia da rede, o que simplifica a administração e a configuração de acessos. Por exemplo, uma alteração na localização física de um computador não afetará o seu papel na estrutura do AD.

As operações do Active Directory incluem a autenticação de utilizadores, bem como a pesquisa, modificação e comparação de objetos. Estas funções são implementadas utilizando o protocolo LDAP.

O Active Directory inclui:

• Repositório de dados é a parte do serviço de diretório que gere o armazenamento e o fornecimento de informações em cada controlador de domínio. Os dados são armazenados numa base de dados (BD) estruturada, também chamada de catálogo, que contém um conjunto de todos os objetos do AD.

Soluções como ferramentas de catálogo de dados podem ajudar as empresas a otimizar a gestão e organização destas informações estruturadas, garantindo uma recuperação eficiente e segurança. Cada um destes objetos pertence a uma determinada classe (utilizadores, computadores, domínios, etc.) e tem o mesmo conjunto de atributos.

• Esquema é um conjunto de definições de atributos (parâmetros nomeados) de classes e objetos. O esquema padroniza o armazenamento de dados num repositório e, assim, permite obter informações (para este fim, é utilizado o LDAP).
• Florestas, árvores, domínios e unidades organizacionais são elementos-chave da estrutura lógica do AD, que foram descritos detalhadamente acima.

Integração com DNS (Domain Name System): é utilizada para converter os nomes dos recursos de rede (computadores, impressoras, etc.) registados na estrutura do Active Directory em endereços IP. Por exemplo, este sistema permite que os utilizadores acedam a computadores e que os computadores acedam aos controladores de domínio.

Cada objeto no AD é uma entrada LDAP que consiste num conjunto de atributos e respetivos valores, que o descrevem completamente. Por exemplo, um objeto da classe employee contém um atributo de email que se parece com: mail: user@example.com.

Exemplo de toda a entrada pertencente à classe employee class:

dn: cn=John Smith,ou=employee,dc=example,dc=com

objectclass: employee

sn: Smith

cn: John Smith

mail: smith@example.com

ou: people

Pay attention to the value of the first attribute: cn=John Smith, ou=employee, dc=example, dc=com.

Este é o Distinguished Name (DN), que identifica a entrada dentro da floresta e representa o caminho completo desde a entrada raiz do AD até ao objeto em questão. Neste caso, a entrada que contém informações sobre o funcionário John Smith é uma entrada subsidiária da unidade organizacional ou=employee, e a sua entrada pai é o nome de domínio example.com.

Os valores únicos dentro da sua entrada pai são chamados de Relative Distinguished Name (RDN). Por exemplo, cn=John Smith é um RDN relativo a ou=employee. O conjunto de todos os RDNs na forma de uma cadeia hierárquica é o DN de cada entrada. Os valores dos atributos podem ser utilizados para filtros de pesquisa de objetos no AD, e os valores de DN podem ser utilizados para identificar um objeto (por exemplo, para o modificar).

Como se Compara o LDAP e o Active Directory?

• LDAP (Lightweight Directory Access Protocol) é um protocolo para aceder a serviços de diretório para obter dados, enquanto o Active Directory é a implementação da Microsoft de serviços de diretório.
• O Active Directory requer conformidade com LDAP para entender e responder ao seu pedido.
• Para além do Active Directory, existem outros serviços de diretório, alguns dos quais são gratuitos, como o OpenLDAP. A Microsoft também desenvolveu o Active Directory para ir além do LDAP e utilizar outros protocolos, como o Kerberos.
• Criado na década de 1980 e muito melhorado desde então, o LDAP é o resultado de uma colaboração entre empresas de telecomunicações para criar um protocolo para transferir dados de um servidor através de TCP/IP.

O Active Directory é um produto da Microsoft que foi originalmente desenvolvido com base no LDAP para garantir o seu funcionamento perfeito e conformidade com o LDAP. O AD foi originalmente concebido para fornecer dados através de LDAP, mas expandiu-se para incluir outros serviços, como mencionado acima.

• Como o LDAP não está vinculado a nenhuma empresa, pode ser utilizado em praticamente qualquer sistema operativo se também tiver um serviço de diretório que possa funcionar nesse sistema operativo.

Por outro lado, o Active Directory, propriedade da Microsoft, está normalmente localizado no sistema operativo Windows, que também é propriedade da Microsoft. O conhecido Windows não pode ser utilizado diretamente no Active Directory, pois existem muitas outras opções para os consumidores.

Em conclusão, o Active Directory é uma das soluções que pode fornecer serviços que utilizam LDAP. O LDAP, por outro lado, é um protocolo e, portanto, é mais comum do que o Active Directory. Quer utilize o Active Directory, o OpenLDAP ou qualquer outro serviço de diretório oferecido por outras empresas, provavelmente continuará a utilizar LDAP.

Resumo:

• LDAP é um protocolo para recuperar informações de um serviço de diretório, como o Active Directory.
• LDAP é muito mais antigo que o Active Directory, e a maior parte do Active Directory provém do LDAP.
• Active Directory é uma solução da Microsoft, enquanto o LDAP é o resultado de esforços da indústria.
• O Active Directory raramente está localizado fora do sistema operativo Windows.
• O Active Directory fornece serviços adicionais para além da funcionalidade semelhante à do LDAP.

Quais são os Benefícios de Usar Active Directory/LDAP em Videoconferência?

Os participantes podem estar “dispersos” por diferentes locais (diferentes cidades, países e até continentes) durante uma videoconferência. O número de utilizadores pode variar de alguns a várias centenas. O Active Directory/LDAP facilita muito o trabalho do administrador que fornece serviços aos utilizadores do diretório corporativo.

A ligação ao servidor LDAP ajuda o administrador a evitar recriar registos e poupa-lhe tempo. Os utilizadores, por sua vez, livram-se da sessão de reautorização. O Active Directory/LDAP permite a utilização do mecanismo de autorização existente num terminal de videoconferência, sem a necessidade de reinserir o nome de utilizador e a palavra-passe ao iniciar uma sessão. Se o LDAP for utilizado numa rede local, um utilizador poderá ligar-se e autenticar-se em qualquer computador da rede corporativa.