輕型目錄訪問協(xié)議 (LDAP) 和活動目錄 (AD) 是任何公司安全的核心。但是兩者有什么區(qū)別呢？LDAP 是一種開放的、與供應(yīng)商無關(guān)的跨平臺協(xié)議，適用于多種目錄服務(wù)，包括 AD。相反，AD 是 Microsoft 專有的目錄服務(wù)，用于組織各種 IT 資產(chǎn)，如計算機和用戶。了解 LDAP 和 AD 之間的差異可以幫助您保護資源免受嚴重安全問題的影響。

什么是 LDAP？

LDAP 是一種輕量級協(xié)議，用于訪問和管理目錄服務(wù)，尤其是基于 X.500 的目錄服務(wù)。但是，與在開放系統(tǒng)互連 (OSI) 模型上運行的基于 X.500 的目錄不同，LDAP 在傳輸控制協(xié)議/互聯(lián)網(wǎng)協(xié)議 (TCP/IP) 上運行以傳輸服務(wù)。

LDAP 是 Microsoft Active Directory 中使用的核心協(xié)議。但您也可以在其他目錄服務(wù)中找到它的應(yīng)用程序，例如 Red Hat Directory Servers、Open LDAP 和 IBM Security Directory Server。

LDAP 最常見的應(yīng)用是對 AD 網(wǎng)絡(luò)的用戶進行身份驗證。在這方面，LDAP 存儲用戶名和密碼。然后，您可以使用不同的應(yīng)用程序或服務(wù)（例如 Jenkins、Kubernetes 或 Docker）來驗證 AD 網(wǎng)絡(luò)的憑據(jù)。作為一種協(xié)議，LDAP 只定義了客戶端可以用來與服務(wù)器通信（以及服務(wù)器可以用來與服務(wù)器通信）的“語言”。

LDAP 沒有指定程序如何在服務(wù)器端或客戶端運行。例如，您可以將電子郵件程序、地址簿或打印機瀏覽器作為您的客戶端。相比之下，服務(wù)器只能使用 LDAP 或使用其他方法來傳輸數(shù)據(jù)。這樣，LDAP 只是一個附加組件。

目前有兩個版本的 LDAP：LDAPv2（2003 年正式退役）和 LDAPv3。LADPv3 的出現(xiàn)是為了解決 LDAPv2 在身份驗證、國際化、推薦和部署等領(lǐng)域的局限性。它通過簡單的身份驗證和安全層 (SASL) 利用 Kerberos v5 協(xié)議，并包含比 LDAPv2 更多的 X.500 功能。

要使 Windows AD 與 LDAP 一起使用，您需要根據(jù) Active Directory 驗證用戶的憑據(jù)。當客戶端連接到 LDAP 服務(wù)器時，LDAP 的 BIND 操作會為任何會話設(shè)置身份驗證狀態(tài)。有兩個 LDAP 身份驗證選項：簡單和 SASL。

通過簡單身份驗證，用戶名和密碼會向服務(wù)器創(chuàng)建一個 BIND 請求。另一方面，SASL 身份驗證使用另一個身份驗證系統(tǒng)（例如 Kerberos）將憑據(jù)綁定到 LDAP 服務(wù)器。SASL 提供了更高的安全性，因為它將應(yīng)用程序協(xié)議與身份驗證方法分開，使 AD 不易受到攻擊。

什么是AD？

AD 是微軟的目錄服務(wù)。Microsoft 開發(fā) AD 作為其 Windows 域網(wǎng)絡(luò)的一部分以提供兩個功能。首先，AD 是一個分布式分層數(shù)據(jù)庫，其中存儲了有關(guān) IT 資產(chǎn)（例如用戶、計算機和其他資源）的所有信息。其次，AD 包含允許用戶訪問和操作這些資源的服務(wù)。

在這方面，AD 允許您管理所有 Windows 域網(wǎng)絡(luò)元素，包括用戶、組、計算機、安全策略和其他用戶定義的對象。Active Directory 利用 LDAP 和域名系統(tǒng) (DNS) 來定位和訪問網(wǎng)絡(luò)上的任何資源。

AD 有兩個主要目標：

• 它允許用戶通過單點登錄 (SSO) 訪問域內(nèi)的資源。
• 它允許 IT 管理員集中管理用戶和其他網(wǎng)絡(luò)資源。

AD 將數(shù)據(jù)存儲為對象。AD 的對象是單個元素，例如計算機、用戶、共享文件夾或打印機。為了對對象進行分類，AD 使用名稱和屬性。例如，AD 可能會使用用戶名、密碼和安全外殼 (SSH) 密鑰等詳細信息來存儲用戶。

以下是最常見的 AD 服務(wù)：

• 活動目錄域服務(wù) (AD DS)。AD DS 是 AD 的主要組件。AD DS 將資源組織成邏輯層次結(jié)構(gòu)。它還根據(jù)組策略控制您可以在網(wǎng)絡(luò)上訪問哪些資源。域控制器 (DC) 是托管 AD DS 的服務(wù)器。每個 AD 必須至少有一個 DC。域控制器是定義域的容器，其中每個域都是 AD 林的一個子集。AD 森林通常包括一個或多個域，DC 在組織單元 (OU) 中組織這些域。
• Active Directory 輕型目錄服務(wù) (AD LDS)。AD LDS 利用 LDAP 和類似 AD DS 的功能。您可以將 AD LDS 用于不需要與 Windows 域網(wǎng)絡(luò)集成的啟用目錄的應(yīng)用程序。
• 活動目錄聯(lián)合服務(wù) (AD FS)。AD FS 通過 SSO 對多個應(yīng)用程序的用戶進行身份驗證。使用 SSO，您只需登錄一次即可訪問多個服務(wù)，而不是為每個服務(wù)使用不同的身份驗證密鑰。
• 活動目錄證書服務(wù) (AD CS)。AD CS 是一種本地公鑰基礎(chǔ)結(jié)構(gòu) (PKI) 機制，用于創(chuàng)建、驗證和吊銷證書。它加密和解密 Windows 域網(wǎng)絡(luò)上的電子郵件、文件和網(wǎng)絡(luò)流量。
• Active Directory 權(quán)限管理服務(wù) (AD RMS)。AD RMS 處理 Windows 域網(wǎng)絡(luò)上的信息權(quán)限和管理。它可以加密內(nèi)容，例如服務(wù)器上的 Excel 文件，以限制訪問。

LDAP 和 AD 如何比較？

雖然 LDAP 和 AD 可以協(xié)同工作以增強組織的整體安全性，但它們在理念、功能和標準方面有所不同。首先，LDAP 是一種開放的應(yīng)用程序協(xié)議，在 Windows 結(jié)構(gòu)之外工作，主要針對 Unix 和 Linux 環(huán)境。另一方面，AD 是 Microsoft用于訪問和管理目錄的專有解決方案。

其次，LDAP 是一個核心協(xié)議，可以與 Active Directory、Red Hat Directory Servers、Open LDAP 和 IBM Security Directory Server 等目錄服務(wù)提供商一起工作。它允許用戶查詢和修改目錄中的項目。另一方面，AD 主要是目錄服務(wù)實現(xiàn)，具有組和用戶管理、策略管理和身份驗證等功能。

第三，LDAP 沒有與 SSO 相同的概念，因為它是一個開源解決方案。相反，AD 支持域和 SSO。例如，如果網(wǎng)絡(luò)操作系統(tǒng) (NOS) 具有多個 AD 域，您可以在客戶端上設(shè)置 SSO 以跨域運行。

什么是 Active Directory 輕型目錄服務(wù) (AD LDS)？

Active Directory 輕型目錄服務(wù) (AD LDS) 是一種數(shù)據(jù)存儲和檢索解決方案，適用于希望為其基于目錄的應(yīng)用程序提供靈活支持的組織。AD LDS 與 AD DS 具有相同的代碼庫，因此與其共享功能。但是，與運行域的 AD DS 不同，AD LDS 在逐個應(yīng)用程序的基礎(chǔ)上運行。

AD LDS 利用 LDAP 目錄服務(wù)，該服務(wù)支持啟用目錄的應(yīng)用程序，沒有與域相關(guān)的限制和 AD DS 依賴性。對于希望使用基于目錄的應(yīng)用程序而不將它們與 Windows 域目錄集成的 IT 管理員來說，這是一個福音。

由于它不需要 DNS，因此您可以在客戶端操作系統(tǒng)（例如 Windows 工作站）上運行 AD LDS。您還可以在單??個設(shè)備上同時運行多個 AD LDS 實例，每個實例都有一個獨立的架構(gòu)。因此，您可以利用 AD LDS 進行軟件支持和測試。