Quelle est la différence entre LDAP et Active Directory ?

Résumé

Active Directory est un service d’annuaire Microsoft qui centralise la gestion des utilisateurs, des ordinateurs et des droits d’accès sur différents environnements IT on-premise. Lightweight Directory Access Protocol (LDAP) est un protocole indépendant des produits, conçu pour des requêtes d’annuaire à grande vitesse et à grande échelle, mais il ne constitue pas un annuaire en soi. Bien qu’Active Directory utilise LDAP comme l’une de ses méthodes de communication, ces deux technologies remplissent des fonctions différentes : Active Directory est particulièrement adapté à la gestion des environnements d’entreprise basés sur Microsoft, tandis que les serveurs reposant sur LDAP conviennent mieux aux charges d’authentification massives et distribuées. Okta prend en charge les deux, en les unifiant via Okta Universal Directory.

Qu’est-ce qu’Active Directory ? 

Microsoft crée une multitude de logiciels de tous types — des suites bureautiques aux systèmes d’exploitation serveurs en passant par Exchange, SharePoint et bien d’autres.

Dans l’environnement IT, les utilisateurs n’apprécient guère de devoir employer un mot de passe différent pour chaque application. Les administrateurs IT, quant à eux, souhaitent pouvoir regrouper les utilisateurs, et gérer l’accès aux ordinateurs et aux imprimantes.

Active Directory a été créé pour faciliter la gestion des utilisateurs et des ordinateurs en stockant des informations sur eux dans un annuaire unique.

Imaginez que vous travaillez dans une entreprise qui ne dispose d’aucun annuaire :

• Vous devez fournir un nom d’utilisateur et un mot de passe pour chaque application.
• Les administrateurs IT doivent vous octroyer manuellement l’accès à chaque application dont vous avez besoin.
• Si vous mettez à jour votre mot de passe ou modifiez votre nom de famille, vous devez le faire dans chaque application où vous possédez un compte.

Un annuaire, en revanche, réunit dans un service centralisé les informations sur tous les collaborateurs, ordinateurs et autres ressources de l’entreprise. Il stocke également les identifiants (p. ex. votre nom d’utilisateur et votre mot de passe) et peut donc vous authentifier auprès de toutes les applications que vous utilisez.

Dans Active Directory, les ressources sont triées selon trois niveaux.

1. Domaines : les utilisateurs (p. ex. les collaborateurs) et les terminaux (p. ex. les ordinateurs) qui partagent la même base de données Active Directory font partie d’un domaine. Un domaine est normalement associé à une entreprise ou à une organisation au sein d’une entreprise, p. ex. le « domaine Ingénierie ».
   
2. Arborescences : les arborescences définissent le niveau d’approbation entre les domaines, en décidant qui peut accéder à quoi dans les différentes parties d’une organisation, et en permettant aux administrateurs IT de gérer leur propre communauté d’utilisateurs et de terminaux.
   
3. Forêts : pour les grandes entreprises ou les relations interentreprises, les domaines sont regroupés en forêts. L'approbation entre forêts est généralement définie après l’acquisition d’une entreprise par une autre, lorsque les collaborateurs de chaque société doivent accéder aux ressources de l’autre.

Chacun de ces niveaux est associé à des droits d’accès et à des privilèges de communication uniques.

Active Directory inclut également des fonctionnalités de sécurité:

• Authentification. Les utilisateurs doivent saisir les identifiants pertinents pour pouvoir accéder aux ressources sur le réseau.
   
• Groupes de sécurité. Les administrateurs IT répartissent les utilisateurs dans des groupes, puis attribuent ces derniers à des applications pour limiter les tâches administratives.
   
• Politique de groupe. Active Directory comporte un grand nombre de politiques qui définissent les utilisateurs pouvant accéder aux ordinateurs à distance ou configurer les paramètres de sécurité du navigateur.

Active Directory prend en charge de nombreuses méthodes d’authentification des utilisateurs. Au cours de son existence, Active Directory a été compatible avec LAN Manager, NT LAN Manager (NTLM) et Kerberos. À chaque fois, le protocole d’authentification a évolué pour être plus sécurisé et facile à utiliser.

À l’origine, la finalité principale d’Active Directory était de rassembler toutes les technologies Microsoft pour permettre aux utilisateurs d’accéder facilement aux ressources et aux administrateurs de définir des accès sûrs.

Qu’est-ce que LDAP ?

LDAP a été conçu pour permettre aux applications d’obtenir par requête des informations utilisateurs, rapidement et à grande échelle. Ce protocole était idéal dans le domaine des télécommunications ou du transport aérien.

Active Directory a été créé pour les entreprises disposant de quelques milliers de collaborateurs et d’ordinateurs. LDAP était initialement destiné aux applications utilisées par les opérateurs de téléphonie sans fil, qui traitaient des millions de demandes d’authentification des abonnés sur les réseaux téléphoniques.

LDAP est un protocole qui n’est pas lié à un produit. Par exemple, Active Directory prend en charge LDAP pour permettre aux applications basées sur ce protocole de fonctionner dans un environnement Active Directory existant.

En tant que protocole, LDAP prend principalement en charge les opérations suivantes :

• Structuration d’annuaires. Chaque entrée de l’annuaire dispose d’attributs et est accessible via un nom unique utilisé pour interroger l’annuaire.
  
• Ajout, modification et lecture de données. LDAP est optimisé pour la recherche et la lecture rapides de données.
  
• Authentification. Dans LDAP, vous effectuez une « liaison » avec le service. L’authentification peut être fondée sur une simple paire nom d’utilisateur/mot de passe, un certificat client ou un jeton Kerberos.
  
• Recherche. La recherche est un domaine dans lequel LDAP excelle. Encore une fois, les serveurs basés sur LDAP sont généralement conçus pour les interrogations de masse, c’est-à-dire dans la plupart des cas, des recherches lancées sur des ensembles de données.

Quelle est la différence entre LDAP et Active Directory ?

LDAP est un protocole, mais les fournisseurs ont développé des annuaires où LDAP était le principal moyen de communication avec l’annuaire. Ces annuaires étaient souvent appelés « serveurs LDAP ».

Comme ils étaient utilisés principalement en tant que référentiels d’informations sur les utilisateurs d’une application, on les comparait parfois à Active Directory. Cela a un peu brouillé les pistes, certains se demandant laquelle des deux solutions était la meilleure, du serveur LDAP ou d’Active Directory.

Or, il n’y a pas de bonne réponse à cette question, car la comparaison est biaisée. D’ailleurs, la question devrait se poser en d’autres termes. On peut se demander, par exemple, si Active Directory constitue un meilleur annuaire d’applicationsque Ping Identity Directory ou Oracle Internet Directory.

Quand LDAP constitue-t-il le meilleur choix ?

En règle générale, les serveurs LDAP conviennent aux applications à très grande échelle, p. ex. les millions de demandes qu'envoient les abonnés sur une plateforme de télécommunications sans fil.

LDAP est également efficace dans les cas qui nécessitent de nombreuses authentifications. Par exemple, Twitter disposait à un certain moment d’un service LDAP gigantesque pour authentifier ses millions d’utilisateurs.

Quand l’Active Directory montre-t-il ses limites à grande échelle ?

De par sa conception, Active Directory n’est pas idéal pour les implémentations à très grande échelle avec une communauté unique d’utilisateurs. En revanche, ce service offre une bonne évolutivité lorsque les activités de l’entreprise sont distribuées dans plusieurs forêts et domaines.

Il existe des implémentations Active Directory impliquant des centaines de milliers d’utilisateurs, tous gérés dans des domaines et forêts localisés.

Où Active Directory excelle-t-il ?

Active Directory offre des performances optimales dans la tâche pour laquelle il a été créé, c’est-à-dire gérer l’accès aux technologies Microsoft on-premise, comme les clients et serveurs Windows, ou les systèmes SharePoint/Exchange.

Les stratégies de groupe d’Active Directory offrent une sécurisation très efficace des ordinateurs Windows, en raison de l’intégration étroite entre Active Directory et les ordinateurs Windows appartenant à un domaine. Les serveurs LDAP n’ont pas d’équivalent à ce niveau-là.

Quel outil est le plus adapté à votre entreprise ?

Chez Okta, nous prenons en charge les deux environnements, Active Directory et LDAP. Les caractéristiques de chacun fonctionnent mieux dans certaines entreprises.

Comme nombre de nos clients travaillent à la fois avec des serveurs Active Directory et LDAP, nous sommes à même de nous connecter aux deux et d’unifier toutes les informations dans Okta Universal Directory.

Foire aux questions (FAQ)

Le protocole LDAP (Lightweight Directory Access Protocol) est-il identique à Active Directory ?

Non. LDAP est un protocole utilisé pour communiquer avec et interroger des annuaires, tandis qu’Active Directory est un service d’annuaire Microsoft, c’est-à-dire un produit. Active Directory prend bien en charge LDAP, ce qui signifie que les applications reposant sur LDAP peuvent fonctionner dans un environnement Active Directory, mais les deux sont fondamentalement différents par nature.

Quels sont les trois niveaux structurels dans Active Directory ?

Active Directory organise les ressources en domaines (groupes d’utilisateurs et d’appareils partageant une base de données), en arborescences (qui définissent les relations de confiance entre les domaines) et en forêts (qui regroupent plusieurs domaines, généralement utilisées dans les grandes entreprises ou après des acquisitions).

Quand une entreprise doit-elle privilégier le Lightweight Directory Access Protocol (LDAP) plutôt qu’Active Directory ?

Les serveurs reposant sur LDAP conviennent mieux aux applications de très grande envergure qui doivent traiter des millions de demandes d’authentification, comme les plateformes de télécommunications ou les grands services destinés au grand public. Active Directory convient davantage aux environnements d’entreprise qui gèrent des milliers d’utilisateurs sur une infrastructure basée sur Microsoft.

Quelles fonctionnalités de sécurité Active Directory propose-t-il ?

Active Directory inclut l’authentification des utilisateurs (nécessitant des identifiants avant l’accès au réseau), les groupes de sécurité (pour organiser les utilisateurs et attribuer l’accès aux applications), ainsi que la stratégie de groupe (pour contrôler l’accès à distance et les paramètres de sécurité du navigateur, entre autres configurations).

Une entreprise peut-elle utiliser à la fois Active Directory et le protocole LDAP (Lightweight Directory Access Protocol) en même temps ?

Oui. De nombreuses entreprises utilisent à la fois Active Directory et des serveurs LDAP simultanément. Des solutions comme Okta peuvent se connecter aux deux environnements et regrouper les informations dans un annuaire unifié.

Quels protocoles d’authentification Active Directory a-t-il pris en charge au fil du temps ?

Au fil de son évolution, Active Directory a pris en charge LAN Manager, NT LAN Manager (NTLM) et Kerberos, chaque protocole successif apportant des améliorations en matière d’utilisabilité et de sécurité.

Références

Présentation des services de domaine Active Directory. (Mai 2017). Microsoft.

Understanding Active Directory. (Mars 2018). Medium.

What Is Kerberos Authentication? (Octobre 2009). Microsoft.

Configuring Active Directory for LDAP Authentication. IBM.

Présentation des services de domaine Active Directory. (Mai 2017). Microsoft.

Understanding Active Directory. (Mars 2018). Medium.

North Korean Hackers May Be Dabbing in Ransomware Again. (Juillet 2020). PC Magazine.

Report Finds Serious Flaws in COVID-19 Vaccine Developers’ Systems. (Juillet 2020). Xtelligent Healthcare Media.

LDAP and Active Directory. Active Directory 360.

Active Directory inclut également des fonctionnalités de sécurité:

• Authentification. Les utilisateurs doivent saisir les identifiants pertinents pour pouvoir accéder aux ressources sur le réseau.
   
• Groupes de sécurité. Les administrateurs IT répartissent les utilisateurs dans des groupes, puis attribuent ces derniers à des applications pour limiter les tâches administratives.
   
• Politique de groupe. Active Directory comporte un grand nombre de politiques qui définissent les utilisateurs pouvant accéder aux ordinateurs à distance ou configurer les paramètres de sécurité du navigateur.

Active Directory prend en charge de nombreuses méthodes d’authentification des utilisateurs. Au cours de son existence, il a été compatible avec LAN Manager, NTLM et Kerberos. À chaque fois, le protocole d’authentification a évolué pour être plus sécurisé et facile à utiliser.

À l’origine, la finalité principale d’Active Directory était de rassembler toutes les technologies Microsoft pour permettre aux utilisateurs d’accéder facilement aux ressources et aux administrateurs de définir des accès sûrs.

Qu’est-ce que LDAP ?

LDAP a été conçu pour permettre aux applications d’obtenir par requête des informations utilisateurs, rapidement et à grande échelle. Ce protocole était idéal dans le domaine des télécommunications ou du transport aérien.

Active Directory a été créé pour les entreprises disposant de quelques milliers de collaborateurs et d’ordinateurs. LDAP était initialement destiné aux applications utilisées par les opérateurs de téléphonie sans fil, qui traitaient des millions de demandes d’authentification des abonnés sur les réseaux téléphoniques.

LDAP est un protocole qui n’est pas lié à un produit. Par exemple, Active Directory prend en charge LDAP pour permettre aux applications basées sur ce protocole de fonctionner dans un environnement Active Directory existant.

En tant que protocole, LDAP prend principalement en charge les opérations suivantes :

• Structuration d’annuaires. Chaque entrée de l’annuaire dispose d’attributs et est accessible via un nom unique utilisé pour interroger l’annuaire.
   
• Ajout, modification et lecture de données. LDAP est optimisé pour la recherche et la lecture rapides de données.
   
• Authentification. Avec LDAP, vous effectuez une « liaison » avec le service demandé. L’authentification peut être fondée sur une simple paire nom d’utilisateur/mot de passe, un certificat client ou un jeton Kerberos.
   
• Recherche. La recherche est un domaine dans lequel LDAP excelle. Encore une fois, les serveurs basés sur LDAP sont généralement conçus pour les interrogations de masse, c’est-à-dire dans la plupart des cas, des recherches lancées sur des ensembles de données.

Quelle est la différence entre LDAP et Active Directory ?

LDAP est un protocole, mais les fournisseurs ont développé des annuaires où LDAP était le principal moyen de communication avec l’annuaire. Ces annuaires étaient souvent appelés « serveurs LDAP ».

Comme ils étaient utilisés principalement en tant que référentiels d’informations sur les utilisateurs d’une application, on les comparait parfois à Active Directory. Cela a un peu brouillé les pistes, certains se demandant laquelle des deux solutions était la meilleure, du serveur LDAP ou d’Active Directory.

Or, il n’y pas de bonne réponse à cette question, car la comparaison est biaisée. D’ailleurs, la question devrait se poser en d’autres termes. On peut se demander, par exemple, si Active Directory constitue un meilleur annuaire d’applicationsque Ping Identity Directory ou Oracle Internet Directory.

En règle générale, les serveurs LDAP conviennent aux applications à très grande échelle, p. ex. les millions de demandes qu'envoient les abonnés sur une plateforme de télécommunications sans fil.

LDAP est également efficace dans les cas qui nécessitent de nombreuses authentifications. Par exemple, Twitter disposait à un certain moment d’un service LDAP gigantesque pour authentifier ses millions d’utilisateurs.

De par sa conception, Active Directory n’est pas idéal pour les implémentations à très grande échelle avec une communauté unique d’utilisateurs. En revanche, ce service offre une bonne évolutivité lorsque les activités de l’entreprise sont distribuées dans plusieurs forêts et domaines.

Il existe des implémentations Active Directory impliquant des centaines de milliers d’utilisateurs, tous gérés dans des domaines et forêts localisés.

Domaines d’excellence d’Active Directory

Active Directory offre des performances optimales dans la tâche pour laquelle il a été créé, c’est-à-dire gérer l’accès aux technologies Microsoft on-premise, comme les clients et serveurs Windows, ou les systèmes SharePoint/Exchange.

Les stratégies de groupe d’Active Directory offrent une sécurisation très efficace des ordinateurs Windows, en raison de l’intégration étroite entre Active Directory et les ordinateurs Windows appartenant à un domaine. Les serveurs LDAP n’ont pas d’équivalent à ce niveau-là.

Quel outil est le plus adapté à votre entreprise ?

Chez Okta, nous prenons en charge les deux environnements, Active Directory et LDAP. Les caractéristiques de chacun fonctionnent mieux dans certaines entreprises.

Comme nombre de nos clients travaillent à la fois avec des serveurs Active Directory et LDAP, nous sommes à même de nous connecter aux deux et d’unifier toutes les informations dans Okta Universal Directory.

Références

Présentation des services de domaine Active Directory. (Mai 2017). Microsoft.

Understanding Active Directory. (Mars 2018). Medium.

What Is Kerberos Authentication? (Octobre 2009). Microsoft.

Configuring Active Directory for LDAP Authentication. IBM.

Présentation des services de domaine Active Directory. (Mai 2017). Microsoft.

Understanding Active Directory. (Mars 2018). Medium.

North Korean Hackers May Be Dabbing in Ransomware Again. (Juillet 2020). PC Magazine.

Report Finds Serious Flaws in COVID-19 Vaccine Developers’ Systems. (Juillet 2020). Xtelligent Healthcare Media.

LDAP and Active Directory. Active Directory 360.