LDAP

01무엇이고, 어떤 일을 하나

• 계정·그룹·조직 속성을 중앙에서 조회한다.
• Bind의 인증 상태에 따라 디렉터리 접근 권한을 적용한다.
• 애플리케이션이 공통 신원 정보를 사용하게 한다.

02어떤 순서로 동작하나

1. 보호 채널 수립

   서버 인증서를 검증하는 TLS 채널을 구성한다. StartTLS를 쓰면 연결을 안전한 상태로 전환한 결과를 확인한 뒤 민감한 인증 정보를 보낸다.

2. Bind 수행

   설정한 simple 또는 SASL 방식으로 인증 주체를 결정한다. 익명 연결과 인증된 연결의 허용 속성·검색 범위를 구분한다.

3. Search 요청

   Base DN·scope·filter·반환 속성을 지정한다. 외부 문자열이 filter 문법을 바꾸지 않도록 알맞은 escaping과 고정 검색 구조를 사용한다.

4. 결과와 인가

   서버가 디렉터리 권한에 따라 항목과 속성을 돌려준다. 애플리케이션은 그 결과를 업무 자원의 소유·역할 정책에 연결해 별도 인가한다.

03먼저 알아둘 용어와 구성요소

Entry

디렉터리 안의 속성 묶음으로 표현하는 한 항목.

DN

디렉터리에서 항목을 식별하는 구별 이름.

Attribute

이름·그룹·메일 등 항목의 특성을 담는 속성.

Bind

LDAP 연결의 인증 주체와 방식을 설정하는 연산.

Search base

검색을 시작할 디렉터리 항목.

Scope

기준 항목 자체·한 단계 아래·전체 하위 등 검색 범위.

Filter

어떤 속성 조건을 만족하는 항목을 찾을지 나타내는 식.

StartTLS

기존 연결에서 TLS 보호 협상을 시작하는 확장 연산.

04예제로 따라가기

• 같은 사용자라도 검색 Base DN과 scope가 다르면 반환되는 범위가 달라진다.
• Bind 성공 뒤 특정 속성이 보이지 않는다면 비밀번호 실패가 아니라 속성 읽기 권한 문제일 수 있다.
• 그룹 정보를 얻었다고 모든 그룹원이 모든 문서를 수정할 수 있는 것은 아니며 자원별 정책이 필요하다.

05혼동하기 쉬운 점과 확인 기준

• 암호화되지 않은 채널에 simple Bind의 비밀번호를 보내면 인증 정보가 노출될 수 있다.
• LDAP 연결 성공·Bind 성공·검색 성공·애플리케이션 인가 성공을 하나의 결과로 합치지 않는다.

06상세 노트 · 실습 자료

헤더 구조, 설정 예시, 수치 계산과 수업 캡처는 아래 노트에서 이어집니다.