Identitätsauthentifizierung navigieren: Von LDAP zu modernen Protokollen

Beim Aufbau des Identitätsauthentifizierungsmechanismus für Netzwerkanwendungen stehen Ingenieure vor verschiedenen Wahlmöglichkeiten. Ein Ansatz ist die Entwicklung eines benutzerdefinierten Authentifizierungsmechanismus, der für bestimmte neu entwickelte Anwendungen geeignet sein kann. Ein anderer Ansatz ist die Übernahme weit verbreiteter und anerkannter Standards, was nicht nur die Kompatibilität mit bestehenden Anwendungen fördert, sondern auch die Interoperabilität mit anderen Diensten sicherstellt und somit den Integrationsprozess vereinfacht. Daher ist ein tiefes Verständnis gängiger Authentifizierungstechnologien entscheidend für den Aufbau robuster und interoperabler Identitätsauthentifizierungsdienste.

LDAP / Active Directory

LDAP (Lightweight Directory Access Protocol) ist ein IP-basiertes Protokoll, das speziell für den Zugriff auf Verzeichnisdienste entwickelt wurde. Es ist erwähnenswert, dass Microsofts Active Directory dieses Protokoll ebenfalls unterstützt.

Verzeichnisdienste sind eine spezielle Form von Datenbanken, die verschiedene Ressourcen (wie Benutzer, Organisationen, Geräte usw.) mithilfe eindeutiger Identifikatoren organisieren. Diese strukturierte Datenspeicherung ermöglicht es Clients, die benötigten Ressourcen in der Datenbank mit spezifischen Suchsyntaxen abzufragen. Für Ressourcen, die in Verzeichnisdiensten gespeichert sind, können sie umfangreiche Attributinformationen enthalten, wie z. B. den Namen, die E-Mail-Adresse, die Telefonnummer eines Benutzers usw. Für spezifische LDAP-Server gibt es in der Regel einige vordefinierte Vorlagen, um die Anforderungen an Attributschlüssel und -werte festzulegen und so die Datenintegrität sicherzustellen.

In Unternehmensumgebungen sind LDAP/Active Directory-Anwendungen besonders weit verbreitet. Unternehmen können Mitarbeiterinformationen in einer hierarchischen Struktur basierend auf ihren Abteilungen speichern, und jede „Benutzer“-Ressource kann grundlegende Informationen und Anmeldeinformationen der Mitarbeiter speichern.

Integration von LDAP in Anwendungen

Für viele bestehende Anwendungen ist die LDAP-Protokollintegration zu einem wichtigen Merkmal geworden, entweder integriert oder auf Erweiterungsmechanismen basierend implementiert. Nehmen wir Apache APISIX als Beispiel, das die LDAP-Integration erfolgreich über einen flexiblen Plugin-Mechanismus implementiert hat. Diese Integration ermöglicht es Clients, Benutzernamen und Passwörter im Basic-Auth-Format zu senden, dann die Benutzeranmeldeinformationen auf dem LDAP-Server abzufragen und zu validieren, wodurch API-Anfragen effektiv gesichert werden.

In Anwendungen und Diensten, die von Ingenieuren entwickelt werden, kann das LDAP-Protokoll ebenfalls zur Implementierung von Benutzerverwaltungs- und Authentifizierungsfunktionen genutzt werden. Durch die Verwendung von LDAP-Client-Bibliotheken, die von bestimmten Programmiersprachen bereitgestellt werden, ist es einfach, eine Verbindung zu LDAP-Diensten herzustellen. Sobald die Verbindung hergestellt ist, kann die Search-API verwendet werden, um Ressourcen im Verzeichnis abzufragen und die benötigten Benutzerattribute abzurufen.

Vor- und Nachteile von LDAP

Vorteile

• Zentrale Speicherung und effiziente Abfrage: Daten werden zentral in Verzeichnisdiensten gespeichert, und ihre Organisationsstruktur verbessert die Abfragegeschwindigkeit erheblich, was die Handhabung großer Leseanfragen erleichtert.

• Intuitive Baumstruktur: Die Baumstruktur von Verzeichnisdiensten ähnelt stark der Organisationsstruktur der realen Welt, wodurch Ressourcen bequem auf Blattknoten indiziert werden können, was der Intuition der Benutzer entspricht.

• Weit verbreitete Anwendungsintegration: Aufgrund seiner Reife und Stabilität bietet das LDAP-Protokoll in vielen Softwarelösungen integrierte Unterstützung.

Nachteile

• Veraltetes Protokoll: Das LDAP-Protokoll wurde in früheren Zeiten entwickelt und verwendet ASN.1-Kodierung, die sich erheblich vom heute vorherrschenden JSON-Format unterscheidet, was die Integration etwas schwierig macht.

• Begrenzte Funktionalität und Kompatibilitätsprobleme: Das Protokoll selbst bietet begrenzte Funktionalität, was dazu führt, dass einige LDAP-Server-Software durch nicht standardisierte Mittel erweitert werden muss, was die Kompatibilität zwischen verschiedenen LDAP-Servern beeinträchtigen kann.

• Komplexe Konfiguration und Sicherheitsherausforderungen: Die Konfiguration von LDAP-Servern beinhaltet viele Sicherheitsfaktoren, wie TLS und Datenzugriffskontrolle, und erfordert umfangreiche Erfahrung, um eine korrekte Konfiguration sicherzustellen, da sonst das Risiko von Datenlecks besteht.

• Schwierigkeiten bei der Anwendungsimplementierung: Aus Anwendungssicht ähnelt der Zugriff auf LDAP-Server dem Zugriff auf Datenbanken, wobei niedrigere APIs wie Search für den Datenzugriff verwendet werden müssen, was hohe Anforderungen an Anwendungsentwickler stellt.

Die Modernisierung von LDAP

Obwohl das LDAP-Protokoll in der heutigen technologischen Umgebung etwas veraltet erscheinen mag, wird es als klassischer Standard immer noch von vielen Mainstream-Softwarelösungen unterstützt. Viele Unternehmen verlassen sich weiterhin auf LDAP, um verschiedene Ressourcen innerhalb der Organisation zu verwalten, und seine Stabilität und Zuverlässigkeit wurden in praktischen Anwendungen bestätigt.

Um einige Einschränkungen des LDAP-Protokolls in modernen Anwendungen zu überwinden, sind einige Middleware-Produkte entstanden. Diese Middleware kapselt das LDAP-Protokoll intern und bietet modernere und benutzerfreundlichere Protokollschnittstellen, wie z. B. OpenID Connect:

• Dex: https://dexidp.io
• Keycloak: https://www.keycloak.org

Sie übernehmen die Protokollumwandlung und -anpassung und bieten moderne Protokolle, um den Integrationsaufwand für Anwendungsentwickler zu reduzieren.

Diese Middleware-Produkte sind für die Protokollumwandlung und -anpassung verantwortlich und bieten Anwendungsentwicklern modernere und effizientere Integrationsmethoden, wodurch der Aufwand für die Integration von LDAP effektiv reduziert wird.

HTTP-basierte Identitätsauthentifizierungsmechanismen

Im Bereich der Identitätsauthentifizierung spielen HTTP-basierte Protokolle eine entscheidende Rolle. OpenID Connect (OIDC), SAML und CAS sind einige der Vertreter.

OpenID Connect

OpenID Connect ist eine Erweiterung von OAuth 2, das nicht nur Autorisierungsfunktionen bietet, sondern auch die Identitätsauthentifizierungsfähigkeiten erweitert. Im Vergleich zur begrenzten Funktionalität von OAuth 2 bietet OIDC umfangreichere Funktionen, wie z. B. die Kernfunktionalität von id_token und OIDC-Discovery-Standards.

Der Vorteil von OIDC liegt in seiner weiten Verbreitung und seinem reichen Ökosystem. Ausgereifte Server- und Client-Implementierungen sind in verschiedenen Programmiersprachen verfügbar, was die Integration und Bereitstellung erleichtert. Darüber hinaus kann OIDC mit anderen Technologien kombiniert werden, wie z. B. die Verwendung von JSON Web Tokens (JWT) als Token, wodurch deren Zustandslosigkeit genutzt wird, um die Belastung der Identitätsauthentifizierungsdienste zu verringern.

CAS

CAS (Central Authentication Service) ist ein weit verbreitetes Identitätsauthentifizierungsprotokoll in Web-Szenarien, das zur Implementierung von Single Sign-On-Funktionalität verwendet wird. Das CAS-Protokoll ist relativ einfach gestaltet und leicht in verschiedene Anwendungen zu integrieren. Darüber hinaus kann es in der Produktion verwendet werden. Es ist erwähnenswert, dass Identitätsauthentifizierungsmanagementplattformen wie Keycloak ebenfalls das CAS-Protokoll unterstützen, was seinen Anwendungsbereich weiter ausdehnt.

SAML

SAML (Security Assertion Markup Language) ist ein langjähriges Identitätsauthentifizierungsprotokoll, wobei die aktuelle Version SAML 2.0 im Jahr 2005 veröffentlicht wurde. Das Protokoll verwendet XML als Kodierungsmethode für die Kommunikation zwischen Diensten und definiert eindeutige Datenstrukturen. Aufgrund der relativ komplexen Implementierung von SAML und seiner weniger intuitiven und direkten Verwendung sind seine Vorteile im Vergleich zu modernen Identitätsauthentifizierungsprotokollen wie OIDC und CAS jedoch weniger offensichtlich.

Dennoch bieten Identitäts- und Zugriffsmanagementlösungen wie Keycloak weiterhin Server-Implementierungen von SAML an, um Identitätsauthentifizierungsanforderungen in bestimmten Szenarien zu erfüllen.

Benutzeridentitätssynchronisation und -verwaltung

Betrachten wir ein gängiges Szenario: Ein Unternehmen stellt seinen Mitarbeitern mehrere interne Anwendungssysteme zur Verfügung und setzt Single Sign-On ein, um das Benutzererlebnis zu verbessern. Wenn jedoch ein neuer Mitarbeiter eintritt oder ein alter Mitarbeiter das Unternehmen verlässt, müssen IT-Administratoren manuell Konten in verschiedenen Systemen erstellen oder löschen, ein Prozess, der nicht nur mühsam ist, sondern auch mit potenziellen Sicherheitsrisiken verbunden ist.

Um dieses Problem zu lösen, benötigen IT-Administratoren dringend ein standardisiertes, automatisiertes Werkzeug zur Benutzerkontenverwaltung. In diesem Kontext entstand der SCIM (System for Cross-domain Identity Management)-Standard.

Der SCIM-Standard definiert eine Reihe spezifischer REST-APIs, die darauf abzielen, nahtlose Interoperabilität zwischen IDPs (Identitätsanbietern) und Anwendungssystemen oder SaaS-Diensten zu erreichen. Durch diese APIs können Benutzerkonten automatisch konfiguriert werden, was den Prozess der Kontoerstellung, -aktualisierung und -löschung erheblich vereinfacht.

Seit seiner Einführung wurde das SCIM-Protokoll weit verbreitet und angewendet. Beispielsweise unterstützen bekannte Identitätsmanagementlösungen wie Microsoft Entra ID (ehemals Azure Active Directory) und Okta das SCIM-Protokoll. Darüber hinaus bieten Open-Source-Identitäts- und Zugriffsmanagementplattformen wie Keycloak auch SCIM-Server/Client-Erweiterungen an, was ihre Anwendungsszenarien weiter bereichert.

Fazit

Dieser Artikel gibt einen kurzen Überblick über die wichtigsten Technologien, die in Identitätsauthentifizierungsszenarien weit verbreitet sind. Beim Aufbau effizienter und sicherer Identitätsauthentifizierungsdienste spielen diese ausgereiften technischen Lösungen eine entscheidende Rolle. Sie vereinfachen nicht nur die Integrationsarbeit erheblich und verbessern die Arbeitseffizienz, sondern reduzieren auch Sicherheitsrisiken effektiv und gewährleisten die Sicherheit von Unternehmensdaten und Benutzerinformationen. Durch die Nutzung dieser technologischen Lösungen können wir die Anforderungen der modernen Identitätsauthentifizierung besser erfüllen und Unternehmen und Benutzern ein bequemeres und sichereres Erlebnis bieten.