Active Directory inclut également des fonctionnalités de sécurité :

• Services d'authentification. Les utilisateurs doivent saisir les identifiants pertinents pour pouvoir accéder aux ressources sur le réseau.
   
• Groupes de sécurité. Les administrateurs IT répartissent les utilisateurs dans des groupes, puis attribuent ces derniers à des applications pour limiter les tâches administratives.
   
• Politique de groupe. Active Directory comporte un grand nombre de politiques qui définissent les utilisateurs pouvant accéder aux ordinateurs à distance ou configurer les paramètres de sécurité du navigateur.

Active Directory prend en charge de nombreuses méthodes d’authentification des utilisateurs. Au cours de son existence, il a été compatible avec LAN Manager, NTLM et Kerberos. À chaque fois, le protocole d’authentification a évolué pour être plus sécurisé et facile à utiliser.

À l’origine, la finalité principale d’Active Directory était de rassembler toutes les technologies Microsoft pour permettre aux utilisateurs d’accéder facilement aux ressources et aux administrateurs de définir des accès sûrs.

Qu’est-ce que LDAP ?

Le protocole Lightweight Directory Access (LDAP) a été conçu pour permettre aux applications d’obtenir par requête des informations utilisateurs, rapidement et à grande échelle. Ce protocole était idéal dans le domaine des télécommunications ou du transport aérien.

Active Directory a été créé pour les entreprises disposant de quelques milliers de collaborateurs et d’ordinateurs. LDAP était initialement destiné aux applications utilisées par les opérateurs de téléphonie sans fil, qui traitaient des millions de demandes d’authentification des abonnés sur les réseaux téléphoniques.

LDAP est un protocole qui n’est pas lié à un produit. Par exemple, Active Directory prend en charge LDAP pour permettre aux applications basées sur ce protocole de fonctionner dans un environnement Active Directory existant.

En tant que protocole, LDAP prend principalement en charge les opérations suivantes :

• Structuration d’annuaires. Chaque entrée de l’annuaire dispose d’attributs et est accessible via un nom unique utilisé pour interroger l’annuaire.
   
• Ajout, modification et lecture de données. LDAP est optimisé pour la recherche et la lecture rapides de données.
   
• Services d'authentification. Avec l'authentification basée sur LDAP, vous effectuez une « liaison » avec le service demandé. L’authentification peut être fondée sur une simple paire nom d’utilisateur/mot de passe, un certificat client ou un jeton Kerberos.
• Recherche. La recherche est un domaine dans lequel LDAP excelle. Encore une fois, les serveurs basés sur LDAP sont généralement conçus pour les interrogations de masse, c’est-à-dire dans la plupart des cas, des recherches lancées sur des ensembles de données.

Quelle est la différence entre LDAP et Active Directory ?

LDAP est un protocole, mais les fournisseurs ont développé des annuaires où LDAP était le principal moyen de communication avec l’annuaire. Ces annuaires étaient souvent appelés « serveurs LDAP ».

Comme ils étaient utilisés principalement en tant que référentiels d’informations sur les utilisateurs d’une application, on les comparait parfois à Active Directory. Cela a un peu brouillé les pistes, certains se demandant laquelle des deux solutions était la meilleure, du serveur LDAP ou d'Active Directory.

Or, il n’y pas de bonne réponse à cette question, car la comparaison est biaisée. D’ailleurs, la question devrait se poser en d’autres termes. On peut se demander, par exemple, si Microsoft Active Directory constitue un meilleur annuaire d’applications que Ping Identity Directory ou Oracle Internet Directory.

En règle générale, les serveurs LDAP conviennent aux applications à très grande échelle, p. ex. les millions de demandes qu'envoient les abonnés sur une plateforme de télécommunications sans fil.

LDAP est également efficace dans les cas qui nécessitent de nombreuses authentifications. Par exemple, Twitter disposait à un certain moment d’un service LDAP gigantesque pour authentifier ses millions d’utilisateurs.

De par sa conception, Active Directory n’est pas idéal pour les implémentations à très grande échelle avec une communauté unique d’utilisateurs. En revanche, ce service offre une bonne évolutivité lorsque les activités de l’entreprise sont distribuées dans plusieurs forêts et domaines.

Il existe des implémentations Active Directory impliquant des centaines de milliers d’utilisateurs, tous gérés dans des domaines et forêts localisés.

Domaines d’excellence d’Active Directory

Active Directory offre des performances optimales dans la tâche pour laquelle il a été créé, c’est-à-dire gérer l’accès aux technologies Microsoft on-premise, comme les clients et serveurs Windows, ou les systèmes SharePoint/Exchange.

Les stratégies de groupe d’Active Directory offrent une sécurisation très efficace des ordinateurs Windows, en raison de l’intégration étroite entre Active Directory et les ordinateurs Windows appartenant à un domaine. Les serveurs LDAP n’ont pas d’équivalent à ce niveau-là.

Quel outil est le plus adapté à votre entreprise ?

Chez Okta, nous prenons en charge les deux environnements, Active Directory et LDAP. Les caractéristiques de chacun fonctionnent mieux dans certaines entreprises.

Comme nombre de nos clients travaillent à la fois avec des serveurs Active Directory et LDAP, nous sommes à même de nous connecter aux deux et d’unifier toutes les informations dans Okta Universal Directory.

Références

Présentation des services de domaine Active Directory. (Mai 2017). Microsoft.

Understanding Active Directory. (Mars 2018). Medium.

What Is Kerberos Authentication? (Octobre 2009). Microsoft.

Configuring Active Directory for LDAP Authentication. IBM.

Présentation des services de domaine Active Directory. (Mai 2017). Microsoft.

Understanding Active Directory. (Mars 2018). Medium.

North Korean Hackers May Be Dabbing in Ransomware Again. (Juillet 2020). PC Magazine.

Report Finds Serious Flaws in COVID-19 Vaccine Developers’ Systems. (Juillet 2020). Xtelligent Healthcare Media.

LDAP and Active Directory. Active Directory 360.