LDAP-Verzeichnisdienst

Beim Einrichten des LDAP-Servers waren einige Festlegungen zu treffen, da sich strukturelle Änderungen im Verzeichnisdienst später nur bedingt durchführen lassen.

  1. Der Verzeichnisdienst ist ein Abfrage-Server, die auf ihm abgelegten Inhalte sollen veröffentlicht werden.
  2. Der Verzeichnisdienst stellt seine Informationen für Dienste und Nutzer zur Verfügung, was die Speicherung von vertraulichen Daten notwendig macht.
  3. Vertrauliche Daten sind nur von der jeweiligen Person, die sie betreffen einzusehen. Alle anderen Daten sind öffentlich.
  4. Der Verzeichnisdienst bietet die Möglichkeit weitere Informationen zu speichern, um sie zu veröffentlichen. Wenn sie nicht veröffentlicht werden sollen, dann brauchen sie auch nicht gespeichert zu werden.
  5. Der Verzeichnisdienst stellt seine Daten nur innerhalb der TH Wildau zur Verfügung; Anwendungen können mittelbar Teilmengen auch außerhalb der TH veröffentlichen.

 
Der LDAP-Server wurde so konfiguriert, dass er die meisten Informationen über einen anonymen Bind zur Verfügung stellt. Das heißt die Informationen stehen ohne Authentifizierung über das LDAP-Protokoll zur Verfügung. Das verhindert das eigentlich nicht notwendige Versenden von Passwörtern durch das Netzwerk. Für die in Punkt 2 und 3 erwähnten vertraulichen Daten ist eine Authentifizierung notwendig.

Das dazu benötigte Passwort liegt nicht im Verzeichnisdienst selbst, sondern ist gegen Kerberos ausgelagert. Der Grund dafür ist, dass man das Feld Passwort erst einmal zum Lesen freigeben muss, damit man sich authentifizieren kann. Das ist, auch wenn die Passwörter verschlüsselt abgelegt werden, zu unsicher.