Cours d'Annuaires LDAP en PDF (Intermédiaire)

Annuaires LDAP avec OpenLDAP. Les annuaires LDAP (Lightweight Directory Access Protocol) organisent et exposent des informations structurées pour stocker et retrouver des identités, des groupes et des ressources sur un réseau.

🎯 Ce que vous allez apprendre

Compétences ciblées : administration réseau appliquée aux annuaires et maîtrise du protocole LDAP à un niveau intermédiaire.

• Principes d'un annuaire LDAP : bases et architecture des annuaires.
• Configuration du serveur LDAP : installer et paramétrer slapd sur un hôte Linux.
• Gestion avec phpLDAPadmin : administration des entrées et des schémas ; automatisation via scripts (Perl, Python).
• Accès client et authentification : déployer l’authentification centralisée pour postes et serveurs.
• Analyse et optimisation : diagnostiquer performances, cohérence des schémas et LDIF.
• Réplication (Syncrepl / Multimaster) : haute disponibilité et tolérance de panne.

📑 Sommaire du document

• Cours d'Annuaires LDAP en PDF (Intermédiaire)

👤 À qui s'adresse ce cours ?

• Public cible : administrateurs systèmes et réseaux souhaitant gérer des annuaires LDAP sous OpenLDAP.
• Prérequis : connaissances de base en administration Debian/Ubuntu et notions réseau recommandées.

Support adapté à la préparation d'une certification Linux de niveau intermédiaire (par ex. LPIC-2). Le contenu s'appuie sur des RFC et sur la documentation officielle d'OpenLDAP pour garantir rigueur et conformité.

❓ Foire Aux Questions (FAQ)

Qu'est-ce qu'un annuaire LDAP ?

Structure optimisée pour la recherche hiérarchique et l'authentification centralisée des identités, exposée via le protocole LDAP.

Pourquoi utiliser OpenLDAP ?

Solution open source modulaire et largement adoptée, adaptée aux environnements nécessitant maîtrise des schémas et interopérabilité.

Quelle est la différence entre LDAP et une base de données relationnelle classique ?

LDAP privilégie les lectures rapides et la recherche hiérarchique d'annuaire ; les bases relationnelles sont conçues pour des transactions complexes et des jointures multiples.

Quelle est la différence entre OpenLDAP et Active Directory ?

OpenLDAP fournit un service d'annuaire basé sur les standards LDAP, centré sur la flexibilité des schémas et l'interopérabilité. Microsoft Active Directory inclut des services additionnels (Kerberos, DNS, gestion de domaine, Group Policy) et des extensions propriétaires. Le choix dépend du périmètre fonctionnel : annuaire standard et léger pour OpenLDAP, intégration forte avec services Windows pour Active Directory.

Architecture et protocoles : slapd et syncrepl

LDAP est un protocole de la couche application du modèle OSI : il fonctionne au-dessus des couches transport et session, ce qui facilite son intégration aux piles réseau standard. Le démon principal d'OpenLDAP est slapd, qui traite les requêtes, charge les schémas et gère les backends de stockage.

• Référence technique : RFC 4511 (LDAPv3).

La réplication Syncrepl synchronise les répliques entre serveurs en modes maître-esclave ou multimaster, garantissant continuité et cohérence. La configuration inclut consommateurs, fournisseurs et stratégies de résolution des conflits pour les architectures multimaster.

Le rôle du démon slapd

slapd écoute les connexions LDAP/LDAPS, valide les opérations selon les contrôles d'accès et applique les mises à jour via LDIF ou interfaces d'administration. En production, il est recommandé d'activer l'indexation sur les attributs fréquemment recherchés et d'exposer des métriques pour le monitoring.

Ports et protocoles de connexion

• 389 — LDAP (non chiffré, possibilité de StartTLS)
• 636 — LDAPS (LDAP sur TLS, port dédié)

Sécurisation et optimisation (TLS & ACL)

Sécuriser slapd repose sur le chiffrement TLS, des ACL strictes, l'indexation pertinente et la limitation des opérations coûteuses. Mettre en place la rotation des certificats, verrouiller les permissions des fichiers de configuration et intégrer un monitoring (latence, opérations, erreurs) facilite la détection d'anomalies et le débogage.

Mise en œuvre de l'authentification centralisée sous Linux

L'annuaire LDAP fournit l'authentification centralisée via NSS/PAM ou SSSD. La configuration couvre la synchronisation des comptes, les mappings uid/gid et les politiques d'accès. Ces procédures ont été testées sur Debian et Ubuntu ; elles s'appliquent aussi à CentOS/RHEL avec adaptation des paquets et des chemins.

Noter l'importance de la couche application du modèle OSI : LDAP s'intègre avec les services locaux (NSS/PAM/SSSD) pour fournir l'authentification et la résolution d'identité côté client.

Cas pratique : Authentification Linux

1. Installation des paquets : installez les paquets nécessaires sur Debian/Ubuntu avant toute configuration.

apt-get update
apt-get install slapd ldap-utils

1. Définir la classe d'objet posixAccount et ses attributs usuels : uid, uidNumber, gidNumber, homeDirectory, loginShell.
2. Configurer NSS ou SSSD pour consommer ces attributs et fournir l'authentification centralisée aux postes clients.
3. Appliquer des exemples LDIF pour créer les comptes, puis vérifier côté client (journaux, résolution d'utilisateurs) pour valider la configuration et les mappings d'attributs.

Installation d'OpenLDAP sur Linux (Debian/Ubuntu)

Étapes d'installation et de configuration initiale d'OpenLDAP sur Debian/Ubuntu : installation des paquets, configuration interactive de slapd et vérifications post-installation. Après l'installation, contrôler l'état du service slapd, exporter une sauvegarde LDIF et tester les recherches avec ldapsearch. Les instructions privilégient des commandes reproductibles pour une administration Debian standard.

Schémas LDAP standards

Les schémas définissent les classes d'objets et les attributs acceptés par l'annuaire. Les schémas indispensables dans tout déploiement basique sont listés ci-dessous, conformes aux pratiques d'implémentation :

• core.schema — définitions fondamentales pour LDAPv3 (attributs et classes de base).
• cosine.schema — attributs supplémentaires couramment utilisés (par ex. pour les noms et adresses).
• inetorgperson.schema — schéma courant pour représenter des personnes et leurs attributs professionnels (mail, telephone, title).

L'adoption des schémas standards facilite l'interopérabilité avec les clients et la réutilisation d'outils tiers. Évitez les modifications non contrôlées des schémas en production et documentez toute extension.

Outils de gestion en ligne de commande (CLI)

Commandes essentielles pour l'administration et le dépannage :

• ldapsearch
• ldapadd
• ldapmodify
• ldapdelete

Modélisation des données et arborescence LDAP

La modélisation repose sur des unités d'organisation, classes d'objets et attributs cohérents avec le périmètre métier. Une DIT claire facilite recherche, administration et réplication. Attention au choix des RDN et à la prévision des héritages d'attributs pour éviter des conflits lors des opérations en masse.

Structure de l'information

Chaque entrée identifiée par un DN (Distinguished Name) comporte des attributs et des classes d'objets. La connaissance du DIT permet d'optimiser les filtres de recherche, les index and les règles d'accès granulaires.

Gestion de l'annuaire avec phpLDAPadmin

phpLDAPadmin propose une interface graphique pour administrer les entrées, schémas et opérations LDIF. Pour l'automatisation, orientez-vous vers des scripts en Perl (PerlLDAP) ou Python afin d'orchestrer modifications, exports et sauvegardes.

Glossaire des concepts clés

• DIT : Directory Information Tree, arborescence logique des entrées.
• RDN : Relative Distinguished Name, nom relatif d'une entrée vis-à-vis de son parent.
• DN : Distinguished Name, nom unique complet d'une entrée dans le DIT.
• LDIF : LDAP Data Interchange Format, format textuel standard pour import/export.
• DSE : Directory Service Entry, instance d'entrée identifiée par un DN et un ensemble d'attributs.

Comparatif : LDAP vs Bases de données relationnelles

LDAP excelle pour la fourniture d'annuaires et l'authentification à grande échelle grâce à des lectures rapides et des recherches hiérarchiques. Les bases relationnelles sont préférables pour des traitements transactionnels, des jointures complexes et l'analyse relationnelle des données. Le choix dépend des besoins : gestion d'identités et de politiques dans un annuaire ; transactions et analyses dans une base relationnelle.

Comparaison : OpenLDAP vs Microsoft Active Directory

OpenLDAP se concentre sur l'implémentation standardisée de LDAP et la flexibilité des schémas. Microsoft Active Directory combine LDAP avec des services propriétaires (Kerberos intégré, DNS, gestion de domaine, stratégies de groupe) et des mécanismes d'annuaires étroitement liés à l'écosystème Windows. Les environnements multi-plateformes ou open source privilégieront souvent OpenLDAP ; les infrastructures fortement dépendantes des services Windows trouveront AD plus intégré.

Sécurité avancée : Chiffrement TLS et certificats

Pour sécuriser les communications LDAP, activer StartTLS sur le port 389 ou utiliser LDAPS sur le port 636. Gérer un PKI interne ou s'appuyer sur une autorité de certification, définir des listes de révocation et automatiser la rotation des certificats. Assurez-vous que les magasins de confiance (trust stores) des clients contiennent les autorités signataires pour éviter les échecs d'authentification TLS.

Documents de référence

Références citées : RFC 4511 (LDAPv3) et documentation officielle d'OpenLDAP. Exemples LDIF et guides de configuration pour slapd, SSSD et l'intégration NSS/PAM sont fournis dans le support.

Pourquoi télécharger ce support de Philippe Latu ?

Document de 27 pages comportant TP et exemples pratiques pour configurer, sécuriser et optimiser un annuaire OpenLDAP. Rédigé par Philippe Latu, le contenu suit une méthode pas-à-pas : installation, cas pratiques exécutables et vérifications post-configuration, appuyés sur des RFC et des références techniques pour garantir fiabilité et reproductibilité en production.