LDAP (Lightweight Directory Access Protocol) — RFC 4510+ — continua sendo a espinha dorsal de gestão de identidade após 30+ anos. Aqui está o porquê de dominar diretórios empresariais.
10 Vantagens Principais
- Padrão Aberto (IETF): Sem vendor lock-in. Interoperável entre Microsoft AD, OpenLDAP, 389 DS, Apache DS, FreeIPA, Red Hat DS, Oracle, IBM, ForgeRock, Ping, JumpCloud, Azure AD (via LDAPS).
- Modelo de Dados Hierárquico (DIT): Estrutura em árvore (dc=example,dc=com → ou=People → uid=jdoe) espelha realidade organizacional. Profundidade ilimitada, schema flexível.
- Armazenamento Centralizado de Identidade: Fonte única da verdade para usuários, grupos, dispositivos, serviços, políticas. Elimina silos.
- Fundação de Autenticação e Autorização: Bind (simples, SASL: GSSAPI/Kerberos, EXTERNAL/cert), proxy auth, políticas de senha, bloqueio de conta, ACIs/ACLs para controle de acesso granular.
- Multi-Plataforma: Roda em Linux, Windows, macOS, BSD, Solaris, containers, appliances. Clientes em toda linguagem (Python ldap3, Java JNDI/UnboundID, Go ldap, .NET Novell/ldap).
- Replicação Multi-Master: Sync ativo-ativo entre servidores geo-distribuídos. Resolução de conflitos, replicação fracionada, alta disponibilidade.
- Schema Extensível: Adicionar objectClasses/atributos customizados (objectIdentifier, syntax, matching rules). Sem mudanças no schema core.
- Performance em Escala: Indexação (igualdade, presença, substring, aproximada), cache de entradas, paginação de resultados de busca (VLV), operações assíncronas. Lida com 100M+ entradas.
- Segurança Embutida: TLS (LDAPS/StartTLS), SASL, ACIs, políticas de senha (ppolicy), log de auditoria, limites de anonimato.
- Integração de Ecossistema: Kerberos, RADIUS, SAML/OIDC (via proxies), chaves SSH, sudo, automount, DNS, DHCP, PKI, SCIM — todos consomem LDAP.
Benefícios Operacionais
- Mudança única de senha → todos sistemas
- Provisioning/desprovisioning automatizado (RH → LDAP → downstream)
- Acesso baseado em grupo (RBAC/ABAC)
- Conformidade: Trilha de auditoria, recertificação, segregação de deveres
Quando NÃO Usar LDAP
- Alta escrita, baixa leitura (use DB)
- Relacionamentos complexos/grafos (use graph DB)
- Armazenamento de documentos (use document DB)
- Chave-valor simples (use Redis/Consul)
Evolução Moderna
- LDAP sobre HTTP (SCIM): Provisionamento RESTful
- Cloud LDAP: JumpCloud, Azure AD DS, AWS Managed Microsoft AD, Google Managed AD
- Zero Trust: LDAP como fonte de identidade para verificação contínua
LDAP não é legado — é a lingua franca da identidade. Todo grande sistema IAM fala isso.
