OpenLDAP, Apache Directory & Co.: Alternativen zum Active Directory Wege zur Be­nutzer­au­then­ti­fi­zie­rung mit Open Source

Anbieter zum Thema

DataCore Software GmbH

FNT GmbH

Datacenter One GmbH

Für viele Einsatzzwecke ist es nicht notwendig, zur Authentifizierung auf ein „Active Directory“ zu setzen und deshalb einen „Windows“-Server zu betreiben oder „Samba4“ zu nutzen. Oft reichen LDAP-Dienste aus und die damit möglichen Alternativen zu Active Directory bieten einiges an Mehrwert. Autor Thomas Joos gibt einen Überblick.

Für den Aufbau eines Verzeichnisdienstes ist nicht unbedingt ein Active Directory notwendig. Es gibt verschiedene Alternativen, auch aus dem Open-Source-Bereich. Bekannte Lösungen sind zum Beispiel „OpenLDAP“, „Apache Directory“ und auch „Red Hat Directory Server“ sowie „389 Directory Server“. Aber auch „IBM Security Directory Server“, „OpenDJ“, „FreeIPA“, „GLAuth“, „RazDC“, „Oracle Directory Server Directory Server“ und „OpenAM“ sind durchaus in der Lage, im einen oder anderen Bereich unabhängig oder parallel zu Active Directory eingesetzt zu werden.

OpenLDAP – Die LDAP-Alternative zum Active Directory

OpenLDAP bietet nicht die umfangreichen Funktionen von Active Directory, stellt dafür aber eine schnell zu installierende Alternative für Linux dar, die in den meisten Paketquellen enthalten ist. Im Fokus von OpenLDAP steht dabei vor allem das LDAP-Protokoll.

Bildergalerie

Hier ist es auch möglich, mehrere Verzeichnisse parallel zu nutzen. Generell handelt es sich bei OpenLDAP vor allem um eine Alternative zu „Active Directory Lightweight Directory Services“ (ADLDS).

OpenLDAP basiert auf Open Source und steht daher kostenlos zur Verfügung. Anbinden lässt sich an OpenLDAP neben Linux und Windows auch „MacOS“. Zwar fehlen in OpenLDAP Protokolle wie Kerberos oder Technologien wie Gruppenrichtlinien, dafür kann die LDAP-Lösung aber umfassende und tiefe LDAP-Strukturen aufbauen.

Apache Directory – LDAPv3 und Kerberos mit Java nutzen

Neben OpenLDAP ist Apache Directory eine weitere LDAP-Alternative zu Active Directory. Auch hierbei handelt es sich um eine Open-Source-Implementierung von LDAP.

Der Apache Directory Server (ApacheDS) des Apache-Directory-Projektes ist als LDAPv3-konform zertifiziert. Die Verwaltung erfolgt mit dem auf „Eclipse“-basierten Tool „Apache Directory Studio“. Dabei handelt es sich um einen LDAP-Browser und Verzeichnis-Client.

Apache Directory Studio kann sich generell mit jedem LDAP-Server verbinden. Der Fokus des Tools liegt aber auf der Verwendung mit ApacheDS. Neben LDAPv3 unterstützt Apache Directory Server auch „Kerberos 5“, Multi-Master-Replikation, Passwortrichtlinien, X500-Autorisierung und eine LDIF-basierte Konfiguration, die auch mit ADLDS möglich ist. Der Directory Server unterstützt auch die zertifikatsbasierte Authentifizierung auf Basis der Zertifikatsdienste auf „RHEL“-Servern.

Red Hat Directory Server – LDAPv3-Zugriffsmanagement mit AD-Synchronisierung

Red Hat Directory Server ist ein kostenpflichtiges Produkt von Red Hat, das Benutzerauthentifizierung mit LDAP ermöglicht. Die neue Version 12 benötigt als Betriebssystem RHEL 9. Es ist aber möglich, den Linux-Server als virtuelle Maschine zu betreiben. Der dabei verwendete Hypervisor spielt keine Rolle.

Der Server ermöglicht bidirektionale Synchronisierung von Active-Directory-Domänencontrollern auf Basis von „Windows Server 2016/2019“ und „Windows Server 2022“. Natürlich lässt sich der LDAPv3-Verzeichnisserver auch als unabhängiges Verzeichnis nutzen, um Benutzerinformationen zu speichern. Der Server unterstützt den Einsatz mit weiteren Verzeichnisservern, die auch multinational eingesetzt werden können.

389 Directory Server – Die kostenlose Variante des Red Hat Directory Servers

Beim 389 Directory Server handelt es sich um die kostenlose Version des Red Hat Directory Server, die über Fedora zur Verfügung steht. Generell verfügt der Server über die gleichen Möglichkeiten, die auch Red Hat Directory Server nutzt. 389 Directory Server unterstützt daher LDAPv3, genauso wie Red Hat Directory Server.

Hinzu kommt die mögliche Synchronisierung mit Active Directory. Die Replikation ist auch zwischen verschiedenen 389 Directory Servern möglich. Die Einrichtung des Servers ist relativ schnell abgeschlossen, es sind aber durchaus verschiedene Einstellungen zu setzen.

Wie Active Directory, unterstützt der Server auch Gruppen und Rollen zur Verwaltung der erstellten Verzeichnisse. Der Verzeichnisserver kann auch in großen Umgebungen zum Einsatz kommen. Es ist kein Problem, tausende Knoten zu verwalten. Dabei bleibt die Geschwindigkeit des Servers bei durchaus mehreren Tausend Operationen pro Sekunde.

OpenDJ – LDAPv3-Verzeichnisserver für Java

OpenDJ ist ein Verzeichnisdienst, der ebenfalls LDAPv3 unterstützt und auf Java basiert. Ein Vorteil der kostenlosen Lösung ist die schnelle Bereitstellung von neuen LDAP-Verzeichnissen. Dennoch lassen sich mit der Software auch sehr große Verzeichnisse mit einer entsprechenden Anzahl an Objekten erstellen. Der Download der Software kann auch über Github erfolgen.

FreeIPA – Open Source Identity- Policy- und Audio-System

FreeIPA steht ebenfalls als Open Source zur Verfügung und ist ein durch Red Hat unterstütztes Projekt für den Aufbau eines Verzeichnissystems. Integriert sind verschiedene Dienste, zum Beispiel 389 Directory Server als LDAP-Verzeichnis.

Darauf aufbauend sind aber auch PKI-Dienste, Kerberos, SSO, DNS, NTP und eine Weboberfläche dabei, mit der die Dienste verwaltet werden können. Es ist auch möglich eine Verbindung zwischen Active Directory und FreeIPA aufzubauen. Dazu kommt „Samba“ zum Einsatz. Das System wird am besten auf einem RHEL-Server installiert, da hier die Komponenten am besten harmonieren.

(ID:48974809)