LDAP und Active Directory: Was ist der Unterschied?

Kurzfassung

Active Directory ist ein Directory-Dienst von Microsoft, der die Verwaltung von Benutzer:innen, Computern und Zugriffsrechten in lokalen IT-Umgebungen zentralisiert. Lightweight Directory Access Protocol (LDAP) ist ein produktunabhängiges Protokoll, das für schnelle, umfangreiche Directory-Abfragen entwickelt wurde – und kein eigenes Directory. Obwohl Active Directory LDAP als eine seiner Kommunikationsmethoden nutzt, erfüllen beide unterschiedliche Zwecke: Active Directory zeichnet sich bei der Verwaltung Microsoft-basierter Unternehmensumgebungen aus, während LDAP-basierte Server besser für umfangreiche, verteilte Authentifizierungs-Workloads geeignet sind. Okta unterstützt beide und vereint sie über das Okta Universal Directory.

Was ist Active Directory? 

Microsoft bietet eine breite Palette von IT-Software, darunter Windows-Desktopanwendungen, Windows Server, Exchange, SharePoint usw.

In der IT-Umgebung möchten Benutzer nicht für jede Anwendung, die sie aufrufen, ein eigenes Passwort eingeben. IT-Administratoren wiederum möchten in der Lage sein, Personen zu gruppieren und deren Zugriff auf Computer und Drucker zu verwalten.

Active Directory wurde entwickelt, um die Verwaltung von Benutzern und Computern zu vereinfachen, indem Informationen zu ihnen in einem einzigen Verzeichnis gespeichert werden.

Stellen Sie sich das Arbeiten in einem Unternehmen ohne Verzeichnis vor:

• Sie müssten für jede einzelne Anwendung einen Benutzernamen und ein Passwort angeben.
• IT-Administratoren müssten Sie jeder einzelnen Anwendung, auf die Sie zugreifen möchten, manuell zuweisen.
• Wenn Sie Ihr Passwort aktualisieren oder Ihren Nachnamen ändern wollten, müssten Sie die Änderung in jeder Anwendung vornehmen, für die Sie ein Konto besitzen.

Das Verzeichnis fasst in einem zentralen Dienst alle Informationen zu Benutzern, Computern und weiteren Assets im Unternehmen zusammen. In dem Verzeichnis werden auch Anmeldeinformationen (z. B. Ihr Benutzername und Ihr Passwort) gespeichert, sodass Sie bei allen von Ihnen genutzten Anwendungen authentifiziert werden können.

In Active Directory werden Assets einer von drei Ebenen zugeordnet.

1. Domänen: Benutzer (z. B. Mitarbeiter) und Geräte (z. B. Computer), die derselben Active Directory-Datenbank angehören, sind Teil einer Domäne. Eine Domäne wird in der Regel mit einem Unternehmen oder einer Einheit im Unternehmen verknüpft, z. B. mit der „Entwicklungsdomäne“.
   
2. Strukturen: Strukturen definieren die Vertrauensstellung zwischen den Domänen und bestimmen auf diese Weise, wer Zugriff auf welche Inhalte in den verschiedenen Unternehmensbereichen erhält. IT-Administratoren können mithilfe von Strukturen ihre eigene Community aus Benutzern und Geräten verwalten.
   
3. Gesamtstrukturen: Bei großen Unternehmen oder für Beziehungen zwischen Unternehmen werden Domänen einer Gesamtstruktur zugeordnet. Die gesamtstrukturübergreifende Vertrauensstellung wird in der Regel erstellt, wenn ein Unternehmen ein anderes übernommen hat. Mitarbeiter beider Unternehmen müssen auf die Ressourcen des jeweils anderen zugreifen können.

Jede dieser Ebenen verfügt über eigene Zugriffsrechte und Kommunikationsberechtigungen.

Active Directory beinhaltet auch Sicherheitsfunktionen, darunter:

• Authentifizierung. Benutzer müssen die relevanten Anmeldeinformationen angeben, um auf Ressourcen im Netzwerk zugreifen zu können.
   
• Sicherheitsgruppen: IT-Administratoren ordnen Benutzer bestimmten Gruppen zu. Diese Gruppen werden anschließend Anwendungen zugewiesen, um den Administrationsaufwand zu minimieren.
   
• Gruppenrichtlinie. In Active Directory gibt es eine Vielzahl von Richtlinien, die definieren, wer remote auf Computer zugreifen oder Sicherheitseinstellungen für Browser konfigurieren darf.

Active Directory unterstützt verschiedene Arten der Benutzerauthentifizierung. Seit Bestehen von Active Directory wurden LAN Manager, NT LAN Manager (NTLM) und Kerberos unterstützt. Das Authentifizierungsprotokoll wurde kontinuierlich weiterentwickelt, um Benutzerfreundlichkeit und Sicherheit zu optimieren.

Der wesentliche Zweck von Active Directory ist die Zusammenführung aller Microsoft-Technologien, damit Benutzer leichter auf Ressourcen zugreifen und Administratoren den Benutzerzugriff sicher und zuverlässig definieren können.

Was ist LDAP?

Das Protokoll LDAP wurde für Anwendungen entwickelt, um das schnelle Abfragen großer Mengen an Benutzerdaten zu ermöglichen, und war damit beispielsweise ideal für Unternehmen der Telekommunikations- oder Luftfahrtindustrie geeignet.

Active Directory ist auf Unternehmen mit einigen Tausend Mitarbeitern und Computern ausgelegt. Das LDAP-Protokoll hingegen wurde für Anwendungen entwickelt, die es etwa Netzbetreibern ermöglichten, Millionen von Anfragen zur Authentifizierung der Abonnenten im Mobilfunknetz zu verarbeiten.

LDAP ist ein produktagnostisches Protokoll. Active Directory bietet LDAP-Unterstützung, damit LDAP-basierte Anwendungen in einer vorhandenen Active Directory-Umgebung funktionieren.

Als Protokoll wird LDAP vorrangig für folgende Zwecke eingesetzt:

• Verzeichnisstruktur: Jeder Eintrag im Verzeichnis besitzt Attribute und ist über einen eindeutigen definierten Namen (DN) aufrufbar, der beim Abfragen des Verzeichnisses verwendet wird.
  
• Hinzufügen, Aktualisieren und Lesen von Daten. LDAP wurde für das schnelle Durchsuchen und Lesen von Daten optimiert.
  
• Authentifizierung: In LDAP wird eine "Bindung" zum Dienst hergestellt. Die Authentifizierung kann schlicht auf Benutzername und Passwort basieren oder aber auf einem Clientzertifikat oder einem Kerberos-Token.
  
• Suche. Die Suche ist ein Bereich, den LDAP einwandfrei beherrscht. LDAP-basierte Server sind in der Regel auf Massenabfragen ausgelegt. Dabei wird normalerweise nach Datensets gesucht.

LDAP und Active Directory im Vergleich

LDAP ist zwar ein Protokoll, allerdings wird es von Verzeichnisanbietern häufig als primäres Kommunikationsmittel für das Verzeichnis genutzt. In diesem Zusammenhang spricht man auch von LDAP-Servern.

Die Server wurden hauptsächlich als Speicher für Informationen über die Benutzer einer Anwendung verwendet. Folglich werden sie manchmal mit Active Directory verglichen, was wiederum zu Missverständnissen führt. Daher fragen sich viele, ob ein LDAP-Server oder Active Directory die bessere Wahl sei.

Darauf gibt es jedoch keine pauschale Antwort, da beides so nicht vergleichbar ist. Die Frage müsste eher lauten: Ist Active Directory die bessere Wahl für ein Anwendungsverzeichnis oder bieten sich Ping Identity Directory oder Oracle Internet Directory eher an?

Wann ist LDAP die bessere Wahl?

In der Regel eignen sich LDAP-Server für sehr große Implementierungen. Ein Beispiel dafür sind die millionenfachen Abonnentenabfragen, wie sie auf den Plattformen der Mobilfunkanbieter verarbeitet werden.

LDAP ist auch dann eine gute Wahl, wenn sehr viele Benutzerauthentifizierungen stattfinden. Twitter nutzte zeitweilig einen sehr umfangreichen LDAP-Dienst für die Authentifizierung seiner Benutzer.

Wann stößt Active Directory bei der Skalierung an seine Grenzen?

Aufgrund seines Designs ist Active Directory nicht für sehr große Implementierungen mit nur einer Benutzer-Community geeignet. Active Directory lässt sich jedoch sehr gut skalieren, sofern das Unternehmen auf mehrere Gesamtstrukturen und Domänen verteilt ist.

Es existieren zwar Active Directory-Implementierungen mit Hunderttausenden von Benutzern, aber sie werden alle in lokalisierten Domänen und Gesamtstrukturen verwaltet.

Wo zeichnet sich Active Directory aus?

Seine Kernaufgabe beherrscht Active Directory aus dem FF. Diese besteht darin, den Zugriff auf lokale Microsoft-basierte Technologie zu verwalten, darunter Windows-Clients, Windows-Server sowie SharePoint und Exchange.

Aufgrund der engen Integration zwischen mit der Domäne verknüpften Windows-Computern und Active Directory kann sich die Gruppenrichtlinie in Active Directory beim Sichern von Windows-Computern als sehr effektiv erweisen. LDAP-Server bieten diesbezüglich keine gleichwertige Funktionalität.

Was ist die bessere Wahl für Ihr Unternehmen?

Okta bietet Unterstützung sowohl für Active Directory- als auch LDAP-Umgebungen. Das Beste beider Welten ist für manche Unternehmen genau richtig.

Viele unserer Kunden haben in ihrem Unternehmen sowohl Active Directory- als auch LDAP-Server. Wir stellen zu beiden eine Verbindung her und fassen die Informationen in unserem Okta Universal Directory zusammen.

Häufig gestellte Fragen

Ist das Lightweight Directory Access Protocol (LDAP) dasselbe wie Active Directory?

Nein. LDAP ist ein Protokoll, das zur Kommunikation mit Directories und zu deren Abfrage verwendet wird, während Active Directory ein Directory-Dienst von Microsoft ist – ein Produkt. Active Directory unterstützt LDAP, was bedeutet, dass LDAP-basierte Anwendungen in einer Active Directory-Umgebung funktionieren können, aber die beiden sind grundlegend verschieden.

Was sind die drei Strukturebenen in Active Directory?

Active Directory organisiert Assets in Domains (Gruppen von Nutzer:innen und Geräten, die eine gemeinsame Datenbank nutzen), Bäume (die Vertrauensstellungen zwischen Domains definieren) und Gesamtstrukturen (die Domains zusammenfassen und typischerweise in großen Organisationen oder nach Unternehmensübernahmen zum Einsatz kommen).

Wann sollte eine Organisation das Lightweight Directory Access Protocol (LDAP) gegenüber Active Directory bevorzugen?

LDAP-basierte Server eignen sich besser für sehr große Anwendungen, die Millionen von Authentifizierungsanfragen verarbeiten müssen – wie etwa Telekommunikationsplattformen oder große Verbraucherdienste. Active Directory eignet sich besser für Unternehmensumgebungen, die Tausende von Benutzer:innen in einer Microsoft-basierten Infrastruktur verwalten.

Welche Sicherheitsfunktionen bietet Active Directory?

Active Directory umfasst die Benutzerauthentifizierung (die Anmeldedaten vor dem Netzwerkzugriff erfordert), Sicherheitsgruppen (zur Organisation von Benutzer:innen und Zuweisung von App-Zugriffen) sowie die Gruppenrichtlinie (unter anderem zur Steuerung des Remote-Zugriffs und der Browser-Sicherheitseinstellungen).

Kann eine Organisation sowohl Active Directory als auch das Lightweight Directory Access Protocol (LDAP) gleichzeitig nutzen?

Ja. Viele Organisationen betreiben gleichzeitig sowohl Active Directory- als auch LDAP-Server. Lösungen wie Okta können sich mit beiden Umgebungen verbinden und die Informationen in einem einheitlichen Verzeichnis konsolidieren.

Welche Authentifizierungsprotokolle hat Active Directory im Laufe der Zeit unterstützt?

Im Laufe seiner Lebensdauer hat Active Directory LAN Manager, NT LAN Manager (NTLM) und Kerberos unterstützt – wobei jedes nachfolgende Protokoll Verbesserungen bei der Benutzerfreundlichkeit und Sicherheit bot.

Referenzen

Active Directory Domain Services Overview. (Mai 2017). Microsoft.

Understanding Active Directory. (März 2018). Medium.

What Is Kerberos Authentication? (Oktober 2009). Microsoft.

Configuring Active Directory for LDAP Authentication. IBM.

Active Directory Domain Services Overview. (Mai 2017). Microsoft.

Understanding Active Directory. (März 2018). Medium.

North Korean Hackers May Be Dabbling in Ransomware Again. (Juli 2020). PC Magazine.

Report Finds Serious Flaws in COVID-19 Vaccine Developers' Systems. (Juli 2020). xTelligent Healthcare Media.

LDAP and Active Directory (LDAP und Active Directory). Active Directory 360.

Active Directory beinhaltet auch Sicherheitsfunktionen, darunter:

• Authentifizierung. Benutzer müssen die relevanten Anmeldeinformationen angeben, um auf Ressourcen im Netzwerk zugreifen zu können.
   
• Sicherheitsgruppen: IT-Administratoren ordnen Benutzer bestimmten Gruppen zu. Diese Gruppen werden anschließend Anwendungen zugewiesen, um den Administrationsaufwand zu minimieren.
   
• Gruppenrichtlinie. In Active Directory gibt es eine Vielzahl von Richtlinien, die definieren, wer remote auf Computer zugreifen oder Sicherheitseinstellungen für Browser konfigurieren darf.

Active Directory unterstützt verschiedene Arten der Benutzerauthentifizierung. Seit Bestehen von Active Directory wurden LAN Manager, NTLM und Kerberos unterstützt. Das Authentifizierungsprotokoll wurde kontinuierlich weiterentwickelt, um Benutzerfreundlichkeit und Sicherheit zu optimieren.

Der wesentliche Zweck von Active Directory ist die Zusammenführung aller Microsoft-Technologien, damit Benutzer leichter auf Ressourcen zugreifen und Administratoren den Benutzerzugriff sicher und zuverlässig definieren können.

Was ist LDAP?

Das Protokoll LDAP wurde für Anwendungen entwickelt, um das schnelle Abfragen großer Mengen an Benutzerdaten zu ermöglichen, und war damit beispielsweise ideal für Unternehmen der Telekommunikations- oder Luftfahrtindustrie geeignet.

Active Directory ist auf Unternehmen mit einigen Tausend Mitarbeitern und Computern ausgelegt. Das LDAP-Protokoll hingegen wurde für Anwendungen entwickelt, die es etwa Netzbetreibern ermöglichten, Millionen von Anfragen zur Authentifizierung der Abonnenten im Mobilfunknetz zu verarbeiten.

LDAP ist ein produktagnostisches Protokoll. Active Directory bietet LDAP-Unterstützung, damit LDAP-basierte Anwendungen in einer vorhandenen Active Directory-Umgebung funktionieren.

Als Protokoll wird LDAP vorrangig für folgende Zwecke eingesetzt:

• Verzeichnisstruktur: Jeder Eintrag im Verzeichnis besitzt Attribute und ist über einen eindeutigen definierten Namen (DN) aufrufbar, der beim Abfragen des Verzeichnisses verwendet wird.
   
• Hinzufügen, Aktualisieren und Lesen von Daten. LDAP wurde für das schnelle Durchsuchen und Lesen von Daten optimiert.
   
• Authentifizierung: In LDAP wird eine „Bindung“ zum Dienst hergestellt. Die Authentifizierung kann schlicht auf Benutzername und Passwort basieren oder aber auf einem Clientzertifikat oder einem Kerberos-Token.
   
• Suche. Die Suche ist ein Bereich, den LDAP einwandfrei beherrscht. LDAP-basierte Server sind in der Regel auf Massenabfragen ausgelegt. Dabei wird normalerweise nach Datensets gesucht.

LDAP und Active Directory im Vergleich

LDAP ist zwar ein Protokoll, allerdings wird es von Verzeichnisanbietern häufig als primäres Kommunikationsmittel für das Verzeichnis genutzt. In diesem Zusammenhang spricht man auch von LDAP-Servern.

Die Server wurden hauptsächlich als Speicher für Informationen über die Benutzer einer Anwendung verwendet. Folglich werden sie manchmal mit Active Directory verglichen, was wiederum zu Missverständnissen führt. Daher fragen sich viele, ob ein LDAP-Server oder Active Directory die bessere Wahl sei.

Darauf gibt es jedoch keine pauschale Antwort, da beides so nicht vergleichbar ist. Die Frage müsste eher lauten: Ist Active Directory die bessere Wahl für ein Anwendungsverzeichnis oder bieten sich Ping Identity Directory oder Oracle Internet Directory eher an?

In der Regel eignen sich LDAP-Server für sehr große Implementierungen. Ein Beispiel dafür sind die millionenfachen Abonnentenabfragen, wie sie auf den Plattformen der Mobilfunkanbieter verarbeitet werden.

LDAP ist auch dann eine gute Wahl, wenn sehr viele Benutzerauthentifizierungen stattfinden. Twitter nutzte zeitweilig einen sehr umfangreichen LDAP-Dienst für die Authentifizierung seiner Benutzer.

Aufgrund seines Designs ist Active Directory nicht für sehr große Implementierungen mit nur einer Benutzer-Community geeignet. Active Directory lässt sich jedoch sehr gut skalieren, sofern das Unternehmen auf mehrere Gesamtstrukturen und Domänen verteilt ist.

Es existieren zwar Active Directory-Implementierungen mit Hunderttausenden von Benutzern, aber sie werden alle in lokalisierten Domänen und Gesamtstrukturen verwaltet.

Die Königsdisziplin von Active Directory

Seine Kernaufgabe beherrscht Active Directory aus dem FF. Diese besteht darin, den Zugriff auf lokale Microsoft-basierte Technologie zu verwalten, darunter Windows-Clients, Windows-Server sowie SharePoint und Exchange.

Aufgrund der engen Integration zwischen mit der Domäne verknüpften Windows-Computern und Active Directory kann sich die Gruppenrichtlinie in Active Directory beim Sichern von Windows-Computern als sehr effektiv erweisen. LDAP-Server bieten diesbezüglich keine gleichwertige Funktionalität.

Was ist die bessere Wahl für Ihr Unternehmen?

Okta bietet Unterstützung sowohl für Active Directory- als auch LDAP-Umgebungen. Das Beste beider Welten ist für manche Unternehmen genau richtig.

Viele unserer Kunden haben in ihrem Unternehmen sowohl Active Directory- als auch LDAP-Server. Wir stellen zu beiden eine Verbindung her und fassen die Informationen in unserem Okta Universal Directory zusammen.

Referenzen

Active Directory Domain Services Overview. (Mai 2017). Microsoft.

Understanding Active Directory. (März 2018). Medium.

What Is Kerberos Authentication? (Oktober 2009). Microsoft.

Configuring Active Directory for LDAP Authentication. IBM.

Active Directory Domain Services Overview. (Mai 2017). Microsoft.

Understanding Active Directory. (März 2018). Medium.

North Korean Hackers May Be Dabbling in Ransomware Again. (Juli 2020). PC Magazine.

Report Finds Serious Flaws in COVID-19 Vaccine Developers' Systems. (Juli 2020). xTelligent Healthcare Media.

LDAP and Active Directory (LDAP und Active Directory). Active Directory 360.