שאלת ראיון: מה זה LDAP — ולמה בלעדיו ה־Active Directory לא שווה הרבה?

אתם יושבים בראיון לתפקיד איש סיסטם. הכל זורם: סיפרתם על איפוסי סיסמאות, על מיפויי כוננים, על זה שהתקנתם Windows יותר פעמים ממה שאתם זוכרים. ואז המראיין מסתכל עליכם ושואל בקור רוח: ״בוא נראה שאתה מבין מה קורה מאחורי הקלעים — מה זה LDAP?״

רוב המועמדים מתחילים למלמל משהו על ״פרוטוקול שקשור ל־Active Directory״. המועמדים שמתקבלים עונים אחרת — והם עונים בדיוק את מה שאתם עומדים לקרוא כאן.

אז מה זה בעצם? הספרייה של הארגון

דמיינו ספרייה ענקית של כל הארגון: כל משתמש, כל מחשב, כל קבוצת הרשאות — כולם רשומים בה עם הכתובת והמאפיינים שלהם. הספרייה הזאת היא Active Directory. עכשיו השאלה: איך פונים אליה? איך שואלים אותה ״האם דנה קיימת? באילו קבוצות היא חברה?״ — התשובה היא LDAP.

LDAP הוא פרוטוקול תקשורת סטנדרטי ופתוח. הוא לא המצאה של מיקרוסופט — הוא קיים שנים לפני Active Directory, ועובד גם מול ספריות אחרות כמו OpenLDAP בעולם הלינוקס. מיקרוסופט פשוט בנתה את Active Directory כך שידבר LDAP באופן טבעי, ולכן בעולם הארגוני השניים הולכים יד ביד.

לחצו להגדלה

איך הספרייה בנויה? העץ שכולם מכירים בלי לדעת

הספרייה מאורגנת כעץ היררכי. בבסיס יש את הדומיין, ומתחתיו יחידות ארגוניות (OU) שמכילות אובייקטים: משתמשים, מחשבים וקבוצות. לכל אובייקט יש כתובת מדויקת שנקראת Distinguished Name — למשל: CN=Dana Levi,OU=Helpdesk,DC=netme,DC=co,DC=il. זו בדיוק הכתובת שאומרת לספרייה איפה דנה יושבת בעץ.

וזה בדיוק מה שקורה כשאתם פותחים משתמש חדש ב־Active Directory Users and Computers: הממשק הגרפי הנחמד מתרגם את הקליקים שלכם לפעולות LDAP מול בקר הדומיין. מי שמבין את זה — מפסיק לראות את הממשק כקסם ומתחיל להבין את המנגנון.

מה LDAP עושה בפועל? שלוש פעולות שכדאי להכיר

• ▸Bind — ההזדהות מול הספרייה. כשמשתמש או שירות מתחברים, הם מבצעים Bind עם שם וסיסמה כדי להוכיח מי הם. בלי Bind מוצלח — אין שאילתות.
• ▸Search — החיפוש. הפעולה הנפוצה ביותר: ״תמצא לי את כל המשתמשים ב־OU של הכספים״ או ״באילו קבוצות המשתמש הזה חבר?״. ככה מערכות בודקות הרשאות.
• ▸Modify — עדכון. שינוי מאפיין של אובייקט: עדכון מספר טלפון, הוספה לקבוצה, איפוס סיסמה. כל שינוי שאתם עושים בממשק מסתיים בפעולת LDAP.

שאלת המשך שהמראיין יזרוק: מה ההבדל בין LDAP ל־Kerberos?

כאן מופרדים המועמדים לשניים. התשובה הקצרה: Kerberos הוא פרוטוקול הזדהות — הוא מוכיח מי אתם באמצעות כרטיסים (Tickets), וזו שיטת ההזדהות המרכזית בדומיין של Windows. LDAP הוא פרוטוקול גישה לספרייה — הוא משמש לשאול ולעדכן מידע. במילים פשוטות: Kerberos עונה על ״מי אתה?״, ו־LDAP עונה על ״מה יש בספרייה ומה מותר לך לראות בה?״. ביום יום הם עובדים יחד, ואיש סיסטם טוב מכיר את שניהם.

ועוד נקודה שמשדרת מקצועיות: אבטחה

LDAP קלאסי מעביר מידע בגלוי — כולל סיסמאות בזמן ה־Bind. לכן בסביבה מסודרת עובדים עם LDAPS (LDAP over TLS) או StartTLS, שמצפינים את התעבורה. אם תזכירו בראיון שחשוב לוודא שההזדהויות מוצפנות ולא עוברות בערוץ פתוח — הרווחתם נקודות זכות שרוב המועמדים לא מביאים.

איפה תפגשו את זה בעבודה האמיתית?

כמעט בכל מקום. מערכת ה־VPN של הארגון שבודקת מי מותר להתחבר מרחוק, שרת הדוא״ל שמחפש כתובות, אפליקציה פנימית שמבצעת התחברות מרכזית, מדפסת רשת ששולפת את רשימת העובדים — כולן מדברות עם הספרייה. ברגע שמבינים LDAP, פתאום מתחברים הנקודות: למה תקלה בבקר הדומיין משפיעה על כל כך הרבה מערכות בו זמנית.

איך עונים על זה בראיון — בביטחון

״LDAP הוא פרוטוקול הגישה לספרייה — השפה שבה מערכות מדברות עם Active Directory. דרכו מבצעים הזדהות, מחפשים משתמשים וקבוצות ומעדכנים מאפיינים. ההזדהות עצמה בדומיין מתבצעת בעיקר דרך Kerberos, ו־LDAP משלים אותה בגישה למידע. וכדאי לוודא שהתעבורה מוצפנת עם LDAPS.״

שימו לב למבנה: הגדרה קצרה, הסבר אחד עם דוגמה, והבחנה מול Kerberos. שלושה משפטים שמראים הבנה — ולא שינון. אם המראיין שואל שאלת המשך, אתם כבר מכירים את Bind, את ה־Distinguished Name ואת נושא ההצפנה.

להעמקה

ההסברים במאמר מבוססים על התיעוד הרשמי של מיקרוסופט ועל המפרט הפתוח של הפרוטוקול. המאמר מתמקד בהבנה לצורך ראיון; עבודה מול סביבת ייצור דורשת הכרת המדיניות והנחיות האבטחה של הארגון שלכם.