# LDAP与AD：有什么区别？

> 来源：梦飞idc云平台 | 原文：https://www.mfisp.com/13406.html | 发布：2022-11-29 | 更新：2022-11-28 | 分类：IDC云库

轻型目录访问协议 (LDAP) 和活动目录 (AD) 是任何公司安全的核心。但是两者有什么区别呢？LDAP 是一种开放的、与供应商无关的跨平台协议，适用于多种目录服务，包括 AD。

轻型目录访问协议 (LDAP) 和活动目录 (AD) 是任何公司安全的核心。但是两者有什么区别呢？LDAP 是一种开放的、与供应商无关的跨平台协议，适用于多种目录服务，包括 AD。相反，AD 是 Microsoft 专有的目录服务，用于组织各种 IT 资产，如计算机和用户。了解 LDAP 和 AD 之间的差异可以帮助您保护资源免受严重安全问题的影响。

 

![LDAP与AD：有什么区别？](https://www.mfisp.com/wp-content/uploads/2022/01/2022012902430963.png)

 

## 什么是 LDAP？

 

LDAP 是一种轻量级协议，用于访问和管理目录服务，尤其是基于 X.500 的目录服务。但是，与在开放系统互连 (OSI) 模型上运行的基于 X.500 的目录不同，LDAP 在传输控制协议/互联网协议 (TCP/IP) 上运行以传输服务。

 

LDAP 是 Microsoft Active Directory 中使用的核心协议。但您也可以在其他目录服务中找到它的应用程序，例如 Red Hat Directory Servers、Open LDAP 和 IBM Security Directory Server。

 

LDAP 最常见的应用是对 AD 网络的用户进行身份验证。在这方面，LDAP 存储用户名和密码。然后，您可以使用不同的应用程序或服务（例如 Jenkins、Kubernetes 或 Docker）来验证 AD 网络的凭据。作为一种协议，LDAP 只定义了客户端可以用来与服务器通信（以及服务器可以用来与服务器通信）的“语言”。

 

LDAP 没有指定程序如何在服务器端或客户端运行。例如，您可以将电子邮件程序、地址簿或打印机浏览器作为您的客户端。相比之下，服务器只能使用 LDAP 或使用其他方法来传输数据。这样，LDAP 只是一个附加组件。

 

目前有两个版本的 LDAP：LDAPv2（2003 年正式退役）和 LDAPv3。LADPv3 的出现是为了解决 LDAPv2 在身份验证、国际化、推荐和部署等领域的局限性。它通过简单的身份验证和安全层 (SASL) 利用 Kerberos v5 协议，并包含比 LDAPv2 更多的 X.500 功能。

 

要使 Windows AD 与 LDAP 一起使用，您需要根据 Active Directory 验证用户的凭据。当客户端连接到 LDAP 服务器时，LDAP 的 BIND 操作会为任何会话设置身份验证状态。有两个 LDAP 身份验证选项：简单和 SASL。

 

通过简单身份验证，用户名和密码会向服务器创建一个 BIND 请求。另一方面，SASL 身份验证使用另一个身份验证系统（例如 Kerberos）将凭据绑定到 LDAP 服务器。SASL 提供了更高的安全性，因为它将应用程序协议与身份验证方法分开，使 AD 不易受到攻击。

 

## 什么是AD？

 

AD 是微软的目录服务。Microsoft 开发 AD 作为其 Windows 域网络的一部分以提供两个功能。首先，AD 是一个分布式分层数据库，其中存储了有关 IT 资产（例如用户、计算机和其他资源）的所有信息。其次，AD 包含允许用户访问和操作这些资源的服务。

 

在这方面，AD 允许您管理所有 Windows 域网络元素，包括用户、组、计算机、安全策略和其他用户定义的对象。Active Directory 利用 LDAP 和域名系统 (DNS) 来定位和访问网络上的任何资源。

 

AD 有两个主要目标：

 
 
- 它允许用户通过单点登录 (SSO) 访问域内的资源。 
- 它允许 IT 管理员集中管理用户和其他网络资源。 

 

AD 将数据存储为对象。AD 的对象是单个元素，例如计算机、用户、共享文件夹或打印机。为了对对象进行分类，AD 使用名称和属性。例如，AD 可能会使用用户名、密码和安全外壳 (SSH) 密钥等详细信息来存储用户。

 

以下是最常见的 AD 服务：

 
 
- 活动目录域服务 (AD DS)。AD DS 是 AD 的主要组件。AD DS 将资源组织成逻辑层次结构。它还根据组策略控制您可以在网络上访问哪些资源。域控制器 (DC) 是托管 AD DS 的服务器。每个 AD 必须至少有一个 DC。域控制器是定义域的容器，其中每个域都是 AD 林的一个子集。AD 森林通常包括一个或多个域，DC 在组织单元 (OU) 中组织这些域。 
- Active Directory 轻型目录服务 (AD LDS)。AD LDS 利用 LDAP 和类似 AD DS 的功能。您可以将 AD LDS 用于不需要与 Windows 域网络集成的启用目录的应用程序。 
- 活动目录联合服务 (AD FS)。AD FS 通过 SSO 对多个应用程序的用户进行身份验证。使用 SSO，您只需登录一次即可访问多个服务，而不是为每个服务使用不同的身份验证密钥。 
- 活动目录证书服务 (AD CS)。AD CS 是一种本地公钥基础结构 (PKI) 机制，用于创建、验证和吊销证书。它加密和解密 Windows 域网络上的电子邮件、文件和网络流量。 
- Active Directory 权限管理服务 (AD RMS)。AD RMS 处理 Windows 域网络上的信息权限和管理。它可以加密内容，例如服务器上的 Excel 文件，以限制访问。 

 

## LDAP 和 AD 如何比较？

 

虽然 LDAP 和 AD 可以协同工作以增强组织的整体安全性，但它们在理念、功能和标准方面有所不同。首先，LDAP 是一种开放的应用程序协议，在 Windows 结构之外工作，主要针对 Unix 和 Linux 环境。另一方面，AD 是 Microsoft用于访问和管理目录的专有解决方案。

 

其次，LDAP 是一个核心协议，可以与 Active Directory、Red Hat Directory Servers、Open LDAP 和 IBM Security Directory Server 等目录服务提供商一起工作。它允许用户查询和修改目录中的项目。另一方面，AD 主要是目录服务实现，具有组和用户管理、策略管理和身份验证等功能。

 

第三，LDAP 没有与 SSO 相同的概念，因为它是一个开源解决方案。相反，AD 支持域和 SSO。例如，如果网络操作系统 (NOS) 具有多个 AD 域，您可以在客户端上设置 SSO 以跨域运行。

 

## 什么是 Active Directory 轻型目录服务 (AD LDS)？

 

Active Directory 轻型目录服务 (AD LDS) 是一种数据存储和检索解决方案，适用于希望为其基于目录的应用程序提供灵活支持的组织。AD LDS 与 AD DS 具有相同的代码库，因此与其共享功能。但是，与运行域的 AD DS 不同，AD LDS 在逐个应用程序的基础上运行。

 

AD LDS 利用 LDAP 目录服务，该服务支持启用目录的应用程序，没有与域相关的限制和 AD DS 依赖性。对于希望使用基于目录的应用程序而不将它们与 Windows 域目录集成的 IT 管理员来说，这是一个福音。

 

由于它不需要 DNS，因此您可以在客户端操作系统（例如 Windows 工作站）上运行 AD LDS。您还可以在单​​个设备上同时运行多个 AD LDS 实例，每个实例都有一个独立的架构。因此，您可以利用 AD LDS 进行软件支持和测试。

---
本页由 梦飞idc云平台（https://www.mfisp.com）提供。站点导航见 https://www.mfisp.com/llms.txt