Protocolo LDAP I: Acesso Remoto a Diretórios em Redes de Dados

Transcrição

1 Protocolo LDAP I: Acesso Remoto a Diretórios em Redes de Dados Esta série de tutoriais apresenta o protocolo LDAP (Lightweight Directory Access Protocol), utilizado para prover serviços de acesso remoto a diretórios distribuídos em rede de dados, de forma centralizada. Os tutoriais foram baseados no Artigo Científico intitulado OPENLDAP: a chave é a centralização, de autoria do Jaime e do Mário, apresentado para a obtenção de grau no Curso de Tecnologia em Redes de Computadores e orientado pelo Prof. Esp. Rubens Alves Gonçalves Neto, da Universidade Estadual de Goiás. Este tutorial parte I apresenta os principais conceitos associados ao uso de diretórios, e um histórico do desenvolvimento dos serviços de acesso a diretórios e sua aplicação para as redes de dados. Jaime Ribeiro Junior É Tecnólogo em Redes de Computadores pela Universidade Estadual de Goiás (UEG, 2008). Atuou como Professor de Informática Básica na GL Treinamentos, ministrando cursos de Windows, pacote Office e noções de Hardware, e como Prestador de Serviços nas áreas de redes de computadores, suporte aos Sistemas Operacionais MS Windows e Distribuições Linux, e suporte de Hardware. Atou também como Auxiliar de Secretaria na Escola Municipal Guilhermina Pereira de Fretas. Atualmente é Professor do Curso Superior de Tecnologia em Redes de Computadores da Universidade Estadual de Goiás - Unidade de Pires do Rio, ministrando Linguagem de Programação I, Linguagem de Programação II e Informática Básica. jaimejr1987@gmail.com 1

2 Mário César de Castro É Tecnólogo em Redes de Computadores pela Universidade Estadual de Goiás (UEG, 2008). Atualmente é Técnico de Urna na Probank. Categorias: Banda Larga, Redes de Dados Wireless Nível: Introdutório Enfoque: Técnico Duração: 15 minutos Publicado em: 29/12/2008 2

3 Protocolo LDAP I: Introdução O LDAP (Lightweight Directory Access Protocol, ou Protocolo Leve de Acesso a Diretório, como o nome já diz, é um protocolo [1] que rege a forma de acesso a serviços de diretórios e respectivos clientes. Em outras palavras, ele fornece a comunicação entre usuários e serviços de diretórios. Em sua forma implementada temos o OpenLDAP, que é o LDAP atribuído de recursos e funcionalidades. Ele oferece a integração com protocolos de comunicação como o IPv4 [2] e IPv6 [3] e de transferências de arquivos como FTP [4] e outros, além da integração de banco de dados, chaves criptográficas dentre outras ferramentas que fazem com que o LDAP possa ser implementado de forma segura e funcional, possuindo dentre outras a capacidade de armazenamento de dados dos usuários da rede de forma prática e segura, inclusive logins [5] e senhas. Dentre todas as funcionalidades do OpenLDAP, a que se considera como a de principal destaque, é a capacidade de oferecer a autenticação de usuários usando sua base de dados. Com ela, podem-se acessar as referências de todas as informações dos usuários da rede em um único lugar permitindo também que todos os protocolos e serviços de diretórios vinculados a ele possam utilizar seus dados para a autenticação de seus clientes. Isso gera o que se denomina de centralização, pois a autenticação de todos os serviços de rede se concentrarão em uma única árvore de informações, o que, conseqüentemente, facilita o trabalho do gerente de redes. Atualmente existe uma escassez de profissionais qualificados para a sua instalação e manutenção, uma vez que como qualquer ferramenta avançada traz consigo a necessidade de um profissional especializado para poder resolver os percalços encontrados no caminho de sua implementação. Este tutorial tem por finalidade fazer com que o leitor conheça a origem do LDAP e entenda como o OpenLDAP, pode através da centralização facilitar o trabalho do administrador da rede durante a gestão dos serviços da mesma, facilitando a gerência de cadastros de usuários. Além disso, será possível também entender os conceitos relacionados ao LDAP, tais como: Diretório, Centralização e Segurança. Aqui será abordado de forma sintetizada os itens citados acima com enfoque à centralização da base de dados, objetivando apresentar o OpenLDAP, mostrando suas características, origem e principalmente a praticidade que ele traz depois de implantado. Possíveis problemas também serão detalhados ao longo do desenvolvimento como dificuldades na implementação e segurança. Para isso, será feita uma revisão teórica, abordando o assunto, tanto em material impresso como digital e uma análise prática feita apenas com o intuito de testar aquilo que a teoria pesquisada mostra, tanto que por não se considerar importante a execução deste em um projeto, este trabalho não citará como foi o trabalho de implementação, mas sim suas características, afim de despertar o interesse dos leitores pelo mesmo. A criação deste se justifica na exposição do OpenLDAP que poderá ajudar não só aos gerentes de redes, mas também aos estudantes de informática, futuros administradores de redes, que ao dominar tal ferramenta terão em suas mãos mais um diferencial de mercado de alto conceito. Fazer com que o leitor conheça e compreenda o que ele é e suas funções, com isso difundindo mais essa ferramenta que, como já salientado, é muito interessante quando se fala em administrar uma rede, seja ela de pequeno, médio ou grande porte. [1] Protocolo: conjunto de regras pré-definidas que estabelece a comunicação entre computadores e assim a 3

4 comunicação dos dados. [2] IPv4: protocolo IP utilizado atualmente na Internet e para a comunicação entre computadores. Suporta 4 milhões de endereços. [3] IPv6: atualização do IPV4, ele suporta muito mais endereços uma vez que possui uma chave de 128 Bits contra 32 de seu antecessor. [4] FTP - File Transfer Protocol: - Protocolo de Transferência de Arquivos, pela Internet. [5] Logins: nome de usuário usado para a autenticação em um servidor ou sistema como um todo, ou mesmo na Internet. 4

5 Protocolo LDAP I: Conceitos Diretórios Antes de prosseguir é importante que se saiba realmente o conceito de diretório. Diretórios por si só não são difíceis de serem compreendidos. Uma estrutura organizada em diretórios tem por finalidade facilitar a busca de informações armazenadas na mesma. Sua existência é fundamentada na necessidade da indicação de direções. Imagine que você precise pesquisar uma palavra no dicionário, primeiro você pega o dicionário procura a letra inicial da palavra desejada e depois procura a palavra que se deseja encontrar, sendo que cada uma dessas etapas tem relação de dependência e são organizadas de forma hierárquica. Eles possuem o mesmo princípio de orientação do dicionário e são organizados de forma hierárquica onde um principal, chamado de raiz, é a base para todos os demais. Os diretórios pertencentes a tal podem conter outros que por sua vez podem conter outros e assim sucessivamente formando uma hierarquia onde a organização da mesma recebe o nome de árvore. Esta estrutura guia o usuário para facilitar a procura de uma informação, passando desde a raiz, depois pelos diretórios subjacentes até se chegar à informação desejada. Sua organização deve ser de uma forma lógica e coerente, para que suas direções sempre estejam corretas. Imagine agora que você está procurando uma palavra no dicionário que comece com a letra A mas a palavra foi colocada entre as de letra B, isso geraria uma dor de cabeça terrível, afinal ao invés de ajudar a direção estaria atrapalhando, contrariando o princípio de sua existência. Aplicações de Diretórios no mundo da Informática Trigo (2007, p. 18), define Diretório como sendo um serviço de armazenamento hierárquico de informações com o objetivo principal de facilitar a pesquisa e a recuperação dessas informações. Por sua vez, Tuttle (2003, doc. eletrônico) descreve o diretório como uma lista de informações sobre objetos organizados ou catalogados em uma ordem, e que fornece o acesso aos dados dos objetos. Na informática tudo o que precisa de organização utiliza o princípio de diretórios: sistemas de arquivos, protocolos de transferência de arquivos, sistemas de armazenamento WEB, banco de dados e até mesmo o editor de registro do MS-Windows. Ou seja, seu conceito é usado por tudo que precise de organização, mas apesar de ser organizado em forma de diretórios, o serviço usado não é necessariamente um serviço de diretório, podendo vir a usufruir da utilização de um. O serviço de diretório é responsável por prover o armazenamento, a organização das informações durante a escrita e o armazenamento, para futuro resgate por terceiros. É uma ferramenta a mais que pode ser usada para complementar à utilização de outros serviços facilitando manutenção, a busca e localização de dados por usuários e aplicativos, onde todos os serviços compartilham o mesmo servidor de diretório [6] e a mesma árvore de informações. A utilização de um serviço de diretório se justifica no âmbito de redes de computadores, sendo ela de pequeno, médio ou grande porte, pois ao utilizar um servidor de diretórios, os dados atualizados ficarão disponíveis a todos os serviços da rede, facilitando e muito a vida dos administradores, através da utilização 5

6 do conceito denominado centralização de informações. Com a centralização ficará muito mais fácil a manutenção dos dados [7], tal como a disponibilização de novas informações na rede. Imagine uma empresa onde existem dez máquinas e todas elas devem manter dados de clientes atualizados em diversos aplicativos. Caso não utilizem um serviço de diretório, a manutenção destes teria que ser feita na base de dados de cada aplicativo onde seria difícil dar a garantia de que os dados, em todos eles, ficariam 100% sincronizados. O serviço de diretório é aquele que armazena informações de forma hierárquica, obedecendo aos critérios que regem seu princípio de organização, possibilitando buscas e consultas, podendo ser ou não distribuídos, disponibilizando suas informações para auxiliar outros serviços, protocolos e aplicativos. Quando se fala em diretórios distribuídos, isto significa que se irá trabalhar com mais de um servidor de diretórios. Uma árvore de diretórios é considerada distribuída quando ela está armazenada em dois ou mais servidores. Apesar da árvore estar fisicamente separada, a pesquisa continua centralizada e todos os dados pertencem à mesma árvore, sendo que em cada servidor há referências para os nós da rede em que estão os demais servidores, de forma que logicamente a árvore de diretórios seja uma só. Uma busca pode ser realizada através do princípio da árvore (raiz) ou a partir de um nó, indicado pelo usuário, que esteja mais próximo da informação desejada, sendo que no segundo caso a resposta será mais rápida. No caso de diretórios distribuídos, a pesquisa será realizada primeiro no servidor raiz e depois passa pelos demais. caso seja estipulado pelo usuário um servidor específico para se iniciar a pesquisa, a resposta será consideravelmente mais rápida, pois ao invés de pesquisar em todos os servidores, a pesquisa será feita a partir de um ponto específico da árvore. Já no caso dos diretórios distribuídos que utilizem meios externos, como a internet, a pesquisa será feita inicialmente no servidor ou servidores locais. Se a informação não for encontrada o servidor local redirecionará a busca para os servidores externos, tendo um tempo de resposta consideravelmente mais lento, já que a banda da internet é muito menor que a de uma rede local. Claro que em todos os casos citados acima, para que as buscas ocorram da forma esperada é inevitável que os servidores de diretórios sejam previamente configurados de forma correta pelo técnico responsável ou o administrador da rede. [6] Servidor de Diretório: estrutura física onde se encontra o software provedor do serviço de diretório. [7] Manutenção de dados é ato de cuidar dos dados mantendo-os sempre atualizados. 6

7 Protocolo LDAP I: Histórico Origem do LDAP O X.500 é um padrão de protocolos de serviços de diretórios, utilizados em redes de computadores, e foi elaborado para trabalhar sobre modelo OSI [8] e incorporado ao pacote de protocolos ISO/IEC 9594 [9]. Designado para dar suporte ao padrão X.400, que define a troca de mensagens eletrônicas entre os usuários da rede local, a função do X.500 é prover serviços de diretórios para rede, centralizando a base de dados dos usuários da rede em um servidor X.500. O protocolo de acesso a diretórios DAP (Directory Access Protocol) faz parte das especificações do padrão X.500, e foi desenvolvido para trabalhar junto a todas as camadas do modelo OSI, com o objetivo definir o acesso de usuários aos serviços de diretórios que seu padrão provia. Assim como o OSI, o X.500 e, conseqüentemente o DAP, foram feitos antes do advento da internet e originalmente não foram preparados para trabalhar com o TCP/IP, visto que segundo Trigo (2007), a aplicação do mesmo além de ser de difícil implementação, gerava aplicações complexas e lentas. Além do mais o estilo da organização da árvore de diretórios do X.500 não foi preparado para a utilização de diretórios distribuídos. Quando se trata de redes, tudo gira em torno dos protocolos. A Internet, o , as intranets, a transferência de arquivos, os acessos a diretórios e outros serviços providos pela pilha TCP/IP [10] são todas operações baseadas em protocolos, tais como: HTTP [11], FTP, UDP [12], TCP, IP, POP [13], SMTP [14]. A grande vantagem da utilização de protocolos se resume na compatibilidade que eles oferecerem tanto entre hardwares como entre softwares de diversos fabricantes, o que os tornaram compatíveis entre si. Um exemplo prático disso é a possibilidade de se estabelecer a comunicação entre Sistemas Operacionais diferentes, ou, partindo para o nível de hardware, por exemplo, fazer com que placas de rede de fabricantes distintos possam se comunicar. Já se aceita como regra geral que a implementação do Modelo OSI utiliza uma gama maior de recursos de rede, devido ao tráfego de uma grande quantidade de dados desnecessários, e a pilha TCP/IP por sua vez trabalha de forma mais leve exigindo menos dos recursos da rede. Com a disseminação da Internet, o TCP/IP passou a ser usado como um padrão internacional. O sucesso foi tanto que os protocolos do X.500 foram adaptados para que as redes TCP/IP pudessem trabalhar com os servidores X.500. Posteriormente percebeu-se a necessidade da criação de protocolos que se encaixassem melhor com as suas características. O LDAP foi criado como uma alternativa ao DAP, para prover acesso aos serviços de diretórios do X.500 pelos protocolos da pilha TCP/IP. O LDAP é mais fácil de ser implementado do que o DAP, além de exigir menos recursos da rede e de memória. Ele foi desenvolvido, e não adaptado como o DAP, para aplicações TCP/IP, obtendo, portanto, maior desempenho. Por esses motivos recebeu o nome Lightweight Directory Access Protocol (protocolo leve de acesso a diretórios). Posteriormente foram criados servidores de diretórios voltados para o TCP/IP e o LDAP. O Slapd (stand-alone LDAP daemon - servidor) foi escolhido como a melhor opção e consolidado. Com sua utilização, passa-se a colocar em prática um software provedor de serviços de diretórios específicos para o TCP/IP e o LDAP, deixando de lado o X.500 que é uma mera adaptação de um padrão desenvolvido para o modelo OSI. Com isso há um ganho em performance e funcionalidades e melhor integração com o LDAP. 7

8 Assim sendo o LDAP passou a ser a melhor forma de se obter o acesso a serviços de diretórios e foi padronizado em julho de 1993 no RFC 1487 [15] da IETF (Internet Engineering Task Force Força-Tarefa de Engenharia da Internet), estando atualmente na versão [8] OSI: Open Systems Interconnection - Interconexão de Sistemas Abertos, padronização estabelecido pela ISO, órgão internacional responsável pela padronização de produtos e serviços, para facilitar a comunicação entre hardware e software de diferentes fabricantes. ISO/IEC 9594: refere-se a uma norma ISO junto a IEC, Comissão Electrotécnica Internacional e trata de uma Visão geral dos conceitos, modelos e serviços do padrão X.500. [9] ISO/IEC 9594: refere-se a uma norma ISO junto a IEC, Comissão Electrotécnica Internacional e trata de uma Visão geral dos conceitos, modelos e serviços do padrão X.500. [10] TCP/IP: Transmission Control Protocol/Internet Protocol - Protocolo de Controle de Transmissão/Protocolo Internet, protocolos básicos da Internet, usados na transmissão e troca de dados de redes diferentes. [11] HTTP: Hypertext Transfer Protocol - Protocolo de Transferência de Hipertexto. [12] UDP: User Datagram Protocol, protocolo de transmissão dos dados. [13] POP: Post Office Protocol - Protocolo usado por programas de correio eletrônico como o Outlook. [14] SMTP: Simple Mail Transfer Protocol, usado em transferências de mensagens eletrônicas. [15] RFC: documento que descreve os padrões de cada protocolo da Internet. 8

9 Protocolo LDAP I: OpenLDAP O LDAP na prática: OpenLDAP Cada vez fica mais difícil encontrar servidores X.500, pois o LDAP possui custo menor de hardware, é mais fácil de se implementar e possui melhor eficiência de funcionamento. Com o modelo OSI enterrado, a utilização de um servidor X.500 adaptado ao invés de um servidor LDAP passa a ser uma displicência do administrador da rede, pois para quem já conhece o funcionamento de X.500, é muito fácil qualificar-se para o uso do LDAP. Como já citado, o LDAP é o protocolo que rege a comunicação entre usuários e os serviços de diretórios e nada mais. Para que o LDAP seja funcional, ele tem que ser integrado com o software servidor de serviços de diretórios (slapd), além de outros softwares que atribuem aos servidores de diretórios diversas funções como, softwares de autenticação de usuário, banco de dados, chaves criptográficas e os demais protocolos de comunicação. Com o objetivo de facilitar o uso do LDAP a Universidade de Michigan, nos Estados Unidos, desenvolveu inicialmente o OpenLDAP, que por ser um software livre traz consigo todas as vantagens que um software livre possui, como a rápida ampliação de recursos e correção de bugs [16]. O OpenLDAP é a implementação do LDAP sendo que ele adiciona os recursos necessários para sua utilização. A suíte é composta pelos softwares: Slapd - stand-alone LDAP daemon (servidor); Slurpd - stand-alone LDAP update replication daemon; Syncrepl Replicação de base é mais flexível e tem mais recursos que o slurpd, mas só funciona nas versões mais novas do OpenLDAP; Bibliotecas de implementação do protocolo LDAP; Utilitários, ferramentas e amostras clientes. Segundo Trigo (2007), as principais características do OpenLDAP são: Suporte a IPv4 e IPv6; Autenticação (Cryrus Sasl-Kerberos V, GSSAPI, Digst-MD5); Controle de acessos; Escolha entre bancos de dados (LDBM e o BerkeleyDB); Capacidade de atender a múltiplos bancos ao mesmo tempo; Alta performance em múltiplas chamadas; Replicação de base (TRIGO,2007, p. 30). Pode-se concluir que o OpenLDAP é um pacote de softwares que trabalha vinculado com o LDAP, e que juntos oferecem um serviço de diretório prático e seguro, com várias funcionalidades como autenticação de usuário e armazenamento de informações, facilidade de backup, funcionamento em redes TCP/IP versão 4 e 6 entre outros. [16] Bug falha ocorrida por um erro inesperado de software ou mesmo de hardware causando erros de programação. 9

10 Protocolo LDAP I: Considerações Finais Esta série de tutoriais vai apresentar o protocolo LDAP (Lightweight Directory Access Protocol), utilizado para prover serviços de acesso remoto a diretórios distribuídos em rede de dados, de forma centralizada. Este tutorial parte I procurou apresentar os principais conceitos associados ao uso de diretórios, e um histórico do desenvolvimento dos serviços de acesso a diretórios e sua aplicação para as redes de dados. O tutorial parte II apresentará uma implementação prática do protocolo LDAP, o OpenLDAP, que é um software livre desenvolvido segundo as recomendações do LDAP, para ser aplicado em redes de dados projetadas para oferecer os serviços de diretórios distribuídos por diversos servidores. Referências TRIGO, Clodonil Honório; OpenLDAP : uma abordagem integrada, São Paulo: Novatec, TUTTLE, S.; Hhlenberger, A; GORTHI, R., Understanding LDAP: Design and Implementation. Disponível em: Acessado em outubro de LIMA, Avelino Oton de : Correio Eletrônico Integrado e o Serviço de Diretório X500, SERPRO, Disponível em: Acessado em outubro de ALECRIM, Emerson; Tecnologia RAID; Infowester, 2004, revisado em Disponível em: Acessado em novembro de ALECRIM, Emerson; Cluster: principais conceitos, Infowester, Disponível em: Acessado em novembro de OpenLDAP Foundation. Disponível em: Acessado em novembro de LAMELLAS, Paulo Fernando, Linux Samba e muito mais: centralizando logins e senhas, Festival de Software Livre 2008, Brasilia: Faculdade Jesus Maria José FAJESU, TANENBAUM, Andrew S., Sistemas Operacionais Modernos, tradução Ronaldo A. J. Gonçalves, São Paulo: Prentice Hall,

11 Protocolo LDAP I: Teste seu Entendimento 1. O que é o LDAP? É um protocolo que rege a forma de acesso a servidores e respectivos clientes. É um serviços de acesso a aplicações e respectivos clientes. É um protocolo que rege a forma de acesso a serviços de diretórios e respectivos clientes. Nenhuma das anteriores. 2. O que é o OpenLDAP? É o LDAP atribuído de recursos e funcionalidades. É o serviços de acesso ao LDAP. É o padrão aberto do LDAP. É o serviços de acesso a servidores LDAP. 3. De onde surgiu o LDAP? A partir do padrão de protocolos de serviços de diretórios X.25, elaborado para funcionar sobre o modelo OSI. A partir do padrão de protocolos de serviços de diretórios X.500, elaborado para funcionar sobre o modelo OSI. partir do padrão de protocolos de serviços de diretórios X.500, elaborado para funcionar sobre o modelo ISO. A partir do padrão de protocolos de serviços de diretórios X.250, elaborado para funcionar sobre o modelo ISO. 11