Vantaggi LDAP: perché rimane lo standard per le directory
LDAP (Lightweight Directory Access Protocol) — RFC 4510+ — rimane la spina dorsale della gestione delle identità dopo 30+ anni. Ecco perché domina le directory aziendali.
10 vantaggi fondamentali
- Standard aperto (IETF): Nessun vendor lock-in. Interoperabile tra Microsoft AD, OpenLDAP, 389 DS, Apache DS, FreeIPA, Red Hat DS, Oracle, IBM, ForgeRock, Ping, JumpCloud, Azure AD (tramite LDAPS).
- Modello dati gerarchico (DIT): Struttura ad albero (dc=example,dc=com → ou=People → uid=jdoe) rispecchia la realtà organizzativa. Profondità illimitata, schema flessibile.
- Archivio identità centralizzato: Unica fonte di verità per utenti, gruppi, dispositivi, servizi, criteri. Elimina silos.
- Fondazione autenticazione e autorizzazione: Bind (semplice, SASL: GSSAPI/Kerberos, EXTERNAL/cert), proxy auth, policy password, blocco account, ACIs/ACL per controllo accesso granulare.
- Cross-platform: Funziona su Linux, Windows, macOS, BSD, Solaris, container, appliance. Client in ogni linguaggio (Python ldap3, Java JNDI/UnboundID, Go ldap, .NET Novell/ldap).
- Replicazione multi-master: Sincronizzazione attiva-attiva tra server geograficamente distribuiti. Risoluzione conflitti, replicazione frazionale, alta disponibilità.
- Schema estendibile: Aggiungi custom objectClasses/attribute (objectIdentifier, syntax, matching rules). Nessuna modifica allo schema core.
- Prestazioni su larga scala: Indicizzazione (uguaglianza, presenza, sottostringa, approssimativa), caching voci, paging risultati ricerca (VLV), operazioni asincrone. Gestisce 100M+ voci.
- Sicurezza integrata: TLS (LDAPS/StartTLS), SASL, ACIs, policy password (ppolicy), logging di audit, limiti anonimato.
- Integrazione ecosistema: Kerberos, RADIUS, SAML/OIDC (tramite proxy), chiavi SSH, sudo, automount, DNS, DHCP, PKI, SCIM — tutti consumano LDAP.
Benefici operativi
- Unico cambio password → tutti i sistemi
- Provisioning/deprovisioning automatizzato (HR → LDAP → downstream)
- Accesso basato su gruppi (RBAC/ABAC)
Quando NON usare LDAP
- Alta scrittura, bassa lettura (usa DB)
- Relazioni/grafici complessi (usa graph DB)
- Archiviazione documenti (usa document DB)
- Semplice key-value (usa Redis/Consul)
Evoluzione moderna
- LDAP over HTTP (SCIM): Provisioning RESTful
- Cloud LDAP: JumpCloud, Azure AD DS, AWS Managed Microsoft AD, Google Managed AD
LDAP non è legacy — è il lingua franca dell'identità. Ogni importante sistema IAM lo parla.