IT-Sicherheit
LDAP & Active Directory
LDAP ist das Verzeichnisdienst-Protokoll, Active Directory das Microsoft-Produkt darauf, Samba AD die quelloffene Alternative; Identitätsbasis vieler Dienste.
- Verzeichnisdienst als Identitätsbasis
- LDAP = Protokoll (RFC 4510 ff.)
- AD = Microsoft-Produkt
- Samba AD = quelloffene Alternative
- Kerberos + LDAP + DNS
Hinter Begriffen wie „Anmeldung“, „SSO“ und „Benutzerverwaltung“ steht fast immer ein Verzeichnisdienst. Wichtig ist die saubere Trennung: LDAP ist ein Protokoll (kein Produkt), Active Directory (AD) ist Microsofts Verzeichnisdienst, der LDAP nutzt, und Samba AD ist eine quelloffene, AD-kompatible Implementierung.
Dieser Artikel erklärt LDAP als Protokoll mit Verzeichnisbaum und Schema, die Architektur von Active Directory aus Kerberos, LDAP und DNS, was Samba AD leistet und wo seine Grenzen liegen, die Anbindung von Linux-Systemen sowie die Härtung gegen veraltete, unsichere Verfahren.
1. LDAP: das Protokoll
LDAP (Lightweight Directory Access Protocol, standardisiert in den RFCs 4510 bis 4519) regelt den Zugriff auf einen Verzeichnisbaum (Directory Information Tree). Jeder Eintrag hat einen eindeutigen Distinguished Name (z. B. cn=Max Muster,ou=Users,dc=example,dc=intern), gehört zu Objektklassen und trägt Attribute. Clients authentifizieren sich per Bind und stellen Suchanfragen mit Basis, Geltungsbereich und Filter. LDAP ist nur der Zugriffsweg; reine LDAP-Server wie OpenLDAP oder 389 Directory Server liefern das Verzeichnis, aber weder Kerberos noch Gruppenrichtlinien.
2. Active Directory: die Trias
Active Directory ist kein reiner LDAP-Server, sondern ein Verzeichnisdienst aus drei zusammenspielenden Protokollen: LDAP für den Verzeichniszugriff, Kerberos für die Authentifizierung über Tickets und DNS für die Lokalisierung der Domänencontroller über SRV-Einträge. Darauf bauen Domänen, Forest und Organisationseinheiten (OUs), der Global Catalog für forestweite Suchen, die fünf FSMO-Rollen und die Gruppenrichtlinien (GPOs) auf, die eine reine LDAP-Lösung nicht bietet.
LDAP ≠ Active Directory
Viele Anwendungen sprechen von „LDAP-Anbindung“, meinen aber den Zugriff auf ein Active Directory über das LDAP-Protokoll. LDAP ist das Protokoll, AD das Produkt. Eine Verwechslung führt schnell zu falschen Annahmen über Funktionsumfang (etwa GPOs oder Kerberos).
3. Samba AD: die quelloffene Domäne
Samba kann seit Version 4 als AD-kompatibler Domänencontroller arbeiten: mit integriertem Kerberos, internem LDAP und DNS. Eine Samba-Domäne lässt sich mit den Windows-Bordmitteln (RSAT) verwalten und ersetzt in vielen Mittelstandsumgebungen einen Windows-Domänencontroller ohne dessen Lizenzkosten. Wichtig ist, die dokumentierten Grenzen zu kennen: keine SYSVOL-Replikation per DFS-R zwischen Domänencontrollern (Workaround über rsync), kein vollständiger GPO-Funktionsumfang, Forest-Trusts experimentell (ohne SID-Filtering) und ein auf Windows Server 2016 begrenzter Funktionslevel.
4. Linux-Systeme anbinden
Linux-Hosts treten einer AD- oder Samba-Domäne über realmd (Orchestrierung) und sssd (System Security Services Daemon) bei. Ein einziger Befehl konfiguriert Kerberos und sssd und legt das Rechnerkonto an; danach können sich Domänenbenutzer am Linux-System anmelden.
Domänenbeitritt und Verzeichnissuche (Linux)
# Linux-Host in die AD-/Samba-Domäne aufnehmen
realm join --user=administrator example.intern
# Verzeichnis verschlüsselt durchsuchen (LDAPS)
ldapsearch -H ldaps://dc01.example.intern -b "dc=example,dc=intern" "(uid=mmuster)"5. Härtung: TLS und Kerberos statt Klartext
Verzeichnisdienste sind ein lohnendes Angriffsziel, deshalb gehören mehrere Altlasten abgeschaltet. LDAP-Anfragen laufen verschlüsselt über LDAPS (Port 636) oder StartTLS (Port 389), nie im Klartext. Microsoft empfiehlt LDAP-Signing und LDAP-Channel-Binding gegen Relay-Angriffe. Und für die Anmeldung gilt: Kerberos statt NTLM. NTLM gilt als veraltet; NTLMv1 wurde aus aktuellen Windows-Versionen (Windows 11 24H2, Server 2025) entfernt, NTLMv2 ist offiziell als veraltet eingestuft.
Ein Verzeichnis ohne TLS und mit NTLM ist eine offene Flanke. LDAPS, LDAP-Signing und Kerberos sind keine Kür, sondern Pflicht für die Identitätsbasis.
6. Basis für SSO
Das Verzeichnis ist selten das Ende der Kette, sondern ihr Anfang: Moderne Anmeldeverfahren wie OpenID Connect und SAML sowie Identity-Plattformen wie Keycloak (jeweils eigene Artikel) ziehen ihre Benutzer und Gruppen typischerweise aus AD oder LDAP. Wer Single Sign-on einführt, baut also auf einem sauberen, gepflegten Verzeichnis auf.
7. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Zentrale Identität für viele Dienste und Anmeldungen | Verzeichnis ist Single Point of Failure und lohnendes Angriffsziel |
| AD: vollständige GPO-Verwaltung, Kerberos, Forest-Trusts | AD: proprietär, Windows-Server-Lizenzen nötig |
| Samba AD: quelloffen, lizenzkostenfrei, RSAT-verwaltbar | Samba AD: kein DFS-R, GPO/Funktionslevel eingeschränkt |
| Linux-Anbindung über sssd/realmd ausgereift | Klartext-LDAP und NTLM als verbreitete Altlasten |
| Basis für SSO (OIDC, SAML, Keycloak) | Pflege von Gruppen/Konten ist laufender Aufwand |
Häufige Fragen zu LDAP & Active Directory
LDAP ist ein Protokoll für den Zugriff auf Verzeichnisdienste, kein Produkt. Active Directory ist Microsofts Verzeichnisdienst, der LDAP für den Verzeichniszugriff nutzt, intern aber zusätzlich auf Kerberos für die Authentifizierung und DNS für die Lokalisierung setzt und Funktionen wie Gruppenrichtlinien bietet, die reines LDAP nicht kennt. „LDAP-Anbindung“ meint daher meist den Zugriff auf ein AD über das LDAP-Protokoll.
Für viele Mittelstandsszenarien ja: Samba AD stellt seit Version 4 eine AD-kompatible Domäne mit Kerberos, LDAP und DNS bereit, ist mit den Windows-Tools (RSAT) verwaltbar und spart Windows-Server-Lizenzen. Es gibt aber dokumentierte Grenzen, etwa keine SYSVOL-Replikation per DFS-R zwischen Domänencontrollern, einen eingeschränkten GPO-Funktionsumfang und einen begrenzten Funktionslevel. Diese Grenzen sollte man vor einer Migration prüfen.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
LDAP & Active Directory im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.