O que é LDAP?
LDAP é o protocolo padrão para consultar e modificar diretórios de identidades, usado por Active Directory e por dezenas de sistemas corporativos.
O que significa LDAP?
LDAP, ou Lightweight Directory Access Protocol, é um protocolo aberto definido pela IETF (RFC 4511) para acessar e manter informações em serviços de diretório distribuídos. Na prática, é a forma como aplicações conversam com diretórios como Active Directory, OpenLDAP e 389 Directory Server.
Como LDAP funciona?
O protocolo opera sobre TCP/IP (porta 389, ou 636 quando usa TLS — LDAPS). O cliente envia operações como bind (autenticar), search (consultar), add, modify e delete. O diretório responde com entradas estruturadas em árvore (DIT), cada uma com atributos como cn (common name), uid, mail, memberOf.
Por que LDAP é importante?
Por trás de muitos sistemas legados de IAM está o LDAP — autenticação de Linux/Unix, ERPs antigos, sistemas internos, impressoras corporativas, switches. Mesmo no mundo moderno (Entra ID, Okta), LDAP continua sendo o protocolo de compatibilidade que permite integrar tudo isso a uma identidade central.
Operações LDAP mais comuns
- Bind: autenticação (verifica usuário + senha).
- Search: consulta filtrada (ex: todos os usuários do grupo financeiro).
- Compare: verificar se um atributo tem certo valor.
- Add / Modify / Delete: provisionamento de entradas.
- Unbind: encerrar a sessão.
Exemplo prático de LDAP
Um servidor de aplicação Java valida login pedindo ao Active Directory via LDAP: 'autentique o usuário cn=joao,ou=usuarios,dc=empresa,dc=com com a senha X'. O AD responde sucesso ou falha. Em seguida, a aplicação pode consultar 'quais grupos joao pertence?' para definir o que ele pode fazer.
LDAP, AD e Entra ID
Active Directory implementa LDAP (entre outros protocolos). Entra ID (antigo Azure AD) é cloud-native e usa principalmente OAuth/OIDC e SCIM, mas oferece Entra Domain Services para suportar LDAP onde sistemas legados precisam dele.
Riscos e cuidados com LDAP
LDAP tradicional (porta 389) trafega senha em claro — usar LDAPS (636) ou STARTTLS é obrigatório em ambientes corporativos. Bind anônimo deve estar desativado. Filtros de search permissivos demais expõem listas de usuários ao reconnaissance de atacantes.
.svg)
