LDAP
LDAP(Lightweight Directory Access Protocol)는 네트워크상에서 조직이나 개인, 파일, 디바이스 등을 찾아볼 수 있게 해 주는 소프트웨어 프로토콜이다. 간략히 엘답이라고 읽는다. 경량 디렉터리 액세스 프로토콜이라고도 한다.
 .jpg) |
개요[편집]
LDAP는 디렉터리 서비스를 제공하기 위한 프로토콜이다. 등장한 지 수년이 지났음에도 불구하고 그동안 IT 환경에 맞춰 변화를 거듭하여 현재도 기업 시스템과 보안 서비스에서 사용자 관리 및 인증에 사용되는 등 중요한 기술로 자리 잡고 있다. 디렉터리는 논리, 계급 방식 속에서 조직화된, 비슷한 특성을 가진 객체들의 모임이다. 가장 일반적인 예로는 전화번호부(telephone directory)가 있는데, 가나다 순의 일련의 이름을 가지고 있고, 이름마다 전화번호와 주소가 포함되어 있다. 이러한 기본 설계 때문에 LDAP는 인증을 위한 다른 서비스에 의해 자주 사용된다. LDAP이 등장하기 이전에는 디렉토리 서비스 표준인 X.500의 DAP(Directory Access Protocol)가 존재했지만, OSI 계층 전체의 프로토콜을 지원하고 통신 간에 네트워크 자원을 많이 소비하는 등 운영 환경에 많은 제약이 존재했다. LDAP은 OSI 계층 전체가 아닌 TCP/IP 위에서 운용되고, DAP의 스펙을 최대한 유지하면서도 경량화하여 네트워크 부담을 줄이도록 설계되었다.[1][2]
구조[편집]
- 인포메이션 모델
인포메이션 모델은 데이터의 형태와 데이터를 통해 디렉터리 구조로 정보를 저장하는 방식에 관한 것이다. LDAP 디렉터리에서 표현하는 정보 구조는 두 가지 요소로 이루어진다. 엔트리(Entry)는 디렉터리에서 정보를 표현하는 기본 단위이다. 엔트리는 다수의 애트리뷰트(Attribute)로 구성된다. 애트리뷰트는 엔트리의 각 타입을 저장하는 공간으로 1개의 애트리뷰트에 하나, 또는 다수의 값을 담을 수 있다. LDAP 디렉터리 구조는 이러한 엔트리 데이터들을 트리 구조로 형성하고 관리한다. 그리고 이러한 트리 형태의 구조를 DIT(Directory information Tree)라고 한다. 추가적으로 LDAP 디렉터리에서 데이터를 구성하는데 중요한 오브젝트 클래스(ObjectClass)와 스키마(Schema)라는 개념이 있다. 오브젝트 클래스는 엔트리에서 꼭 필요하거나 가질 수 있는 애트리뷰트 타입을 정의한다. 엔트리를 만들 때 오브젝트 클래스를 통해 데이터에 필수적으로 들어가야 하는 정보를 담을 수 있게 정의할 수 있다. 또한 오브젝트 클래스는 다른 오브젝트 클래스를 상속해 구현하며 개념을 확장할 수 있다. 스키마는 오브젝트 클래스와 애트리뷰트에 대해 정의하는 규칙으로 보면 된다. 오브젝트 클래스에 어떤 애트리뷰트가 들어갈지, 애트리뷰트의 값에 대한 제약 및 조건 등 관련된 규칙들을 정의할 수 있다. 스키마 정의를 통해 여러 응용 프로그램에서 디렉터리 서비스를 읽고 사용할 때 상호운용성을 보호해주는 역할을 한다.
- 네이밍 모델
네이밍 모델은 LDAP 디렉토리 구조에서 각 엔트리를 어떻게 식별하고 구성하는지에 대해 설명한다. 엔트리는 여러 자식 엔트리들을 가지는 형태의 트리 구조로 나타난다. 각 엔트리 계층에서는 해당 계층을 나타내는 고유한 주소 애트리뷰트를 지니는데, 이를 RDN(Relative Distinguished Name)이라고 부른다. 엔트리 옆에 적힌 "OU=People", "CN=Gerald Carter"와 같은 값은 해당 계층을 나타내는 고유한 주소 애트리뷰트에 해당한다. 이렇게 트리 구조에서 각 엔트리마다 존재하는 RDN 값들을 통해 원하는 경로에 있는 엔트리 정보를 찾을 수 있다. 또한 경로 내 RDN값들을 이어 붙여 생성된 고유한 문자를 DN(Distinguished Name)이라고 부른다. LDAP의 DIT 형태에서 가장 위에 존재하는 엔트리는 DIT의 시작점, 데이터 트리의 루트로 보며 하나의 데이터셋으로 이해할 수 있다.
- 범함수 모델
범함수 모델(Functional)은 LDAP 디렉토리에서 작업하는 명령을 다룬다. 보통 8가지의 작업 명령을 나누게 되고, 작업 명령의 기능에 따라 3가지로 구분한다.
질문 작업 · Search: 주어진 조건에 맞는 Entry 도출 · Compare: 특정 Entry의 Attribute 값 비교
갱신 작업 · Add: 디렉토리에 신규 Entry 추가 · Delete: 디렉토리에 기존 Entry 삭제 · Modify: 디렉토리에 기존 Entry 수정 및 Entry DN값 변경
인증 및 제어 작업 · Bind: 디렉토리 서버 연결 시 사용자 인증 · Unbind: 디렉토리 서버와의 연결 해제 · Abandon: 이전 요청 명령을 취소
- Security 모델
디렉토리에 접근하는 사용자 인증과 데이터 접근 권한을 통해 서비스를 보호하는 방식에 대해 설명한다. SSL/TLS 인증 방식을 통해 서버-클라이언트 간 연결을 구성할 수 있으며, 데이터 전송 시 바이너리 암호화를 적용해 정보를 보호한다. LDAP v3 버전에서는 기존의 보안 방식뿐만 아니라 외부의 인증 방법을 제공할 수 있는 SASL 방식도 제공한다.[2]
LDAP와 관계형 데이터베이스[편집]
LDAP을 이용한 디렉토리 서버도 데이터를 저장하는 데이터베이스의 유형 중 하나이다. 흔히 사용하는 MySQL, 오라클 같은 관계형 데이터베이스(RDB)와 비교했을 때 데이터 구조와 용도에서 많은 차이가 있다. 관계형 데이터베이스는 행과 열의 형태로 구성된 테이블에 데이터를 저장하고 서로 다른 테이블들과의 관계를 통해 결과를 도출한다. 반면 LDAP의 경우, 데이터가 트리 구조로 이루어진 계층형 데이터베이스이다. 각 엔트리는 애트리뷰트로 이루어진 데이터들과 함께 하위에 여러 자식 엔트리를 가지는 그룹 형태를 반복해 트리와 같은 계층 형태의 데이터로 표현할 수 있다. LDAP이 가진 계층 구조는 검색과 읽기 작업에 더 큰 강점을 보여준다. 데이터가 위치한 계층에 접근해 필요한 데이터를 바로 꺼내올 수 있고 해당 계층의 같은 성격을 가진 데이터의 속성과 스키마 설정을 통해 보다 상세히 비교할 수 있다. 이런 특징 때문에 검색 및 읽기 작업에서 관계형 데이터베이스보다 유리하다.
검색 및 읽기 처리 방식에도 차이가 있다. LDAP은 저장된 데이터를 신속하게 조회하기 위해 단순 쿼리 위주로 작업을 처리한다. 하지만 관계형 데이터베이스는 여러 데이터, 테이블들의 관계를 통해 필요한 데이터를 종합적으로 가져오는 복합적 쿼리를 처리하는 작업에 중점을 둔다. 읽기와 달리 추가, 삭제와 같은 쓰기 작업에서는 관계형 데이터베이스보다 안정성이 떨어진다. 관계형 데이터베이스와 다르게 트랜잭션과 같은 유효성 검사가 제한적이기에 쓰기보다 읽기 작업이 많은 데이터 서비스에 주로 활용한다.[2]
LDAP와 클라이언트[편집]
LDAP을 통한 디렉터리 서비스가 다양하게 활용되는 만큼, LDAP와 관련된 다양한 서버들과 기업 솔루션이 존재한다. 또한 LDAP 서버를 관리하기 위한 다양한 클라이언트 API와 GUI 툴들이 등장하면서 선택의 폭이 넓어졌다. 이에 따라 LDAP 환경을 구축하고 활용하기 위한 다양한 서버와 클라이언트 API가 존재한다.
- LDAP 서버
디렉터리 서비스를 위한 LDAP 서버로 윈도우 서버 라이선스에 적용되는 액티브 디렉터리와 같은 상용 제품군부터 LDAP을 기반으로 한 오픈소스까지 다양하게 존재한다. 이들 중 많이 활용하는 서버 3종류는 다음과 같다.
- 오픈LDAP(OpenLDAP) : LDAP 디렉토리를 구축하고 관리할 수 있는 커맨드 라인 기반의 서버이다. LDAP이 개발되고 이를 활용하는 최초의 오픈소스 LDAP 서버로 지금까지 꾸준히 활용되고 있다. LDAP 기능만을 제공하고 있어 확장성이 뛰어나다.
- 아파치 디렉터리 서버(Apache Directory Server) : LDAP을 기반으로 자바로 작성된 LDAP 서버이다. 이클립스와 같은 자바 기반의 응용 프로그램에 쉽게 임베드 할 수 있는 장점이 있다. LDAP뿐만 아니라 DNS, Kerberos와 같은 다른 프로토콜들도 지원한다.
- 액티브 디렉터리(Active Directory) : LDAP뿐만 아니라 다양한 형태의 디렉토리 구조 및 여러 프로토콜을 제공하는 솔루션이다. 기존 LDAP을 보다 확장해 다양한 기능을 제공할 뿐 아니라 서버 설정, 관리와 같은 전반적인 환경을 제어할 수 있는 GUI 서비스 및 툴들을 제공한다. 다만 다른 오픈LDAP 서버들과 달리 윈도우 환경에서만 서비스가 가능하다.
- LDAP 클라이언트
구축된 LDAP 서버에 접근해 여러 상호작용을 위해선 클라이언트 서비스가 존재해야 한다. LDAP 클라이언트 API는 다양한 종류의 개발 언어들과 기능이 제공되는 다수의 라이브러리가 존재한다. 클라이언트 API에도 여러 가지가 있지만, 자바 기반으로 쉽게 사용할 수 있고 지속적으로 관리되는 API는 다음과 같다.
- JNDI : 자바2부터 기본적으로 내장된 라이브러리이다. 자바에서 활용할 수 있는 네이밍, 디렉토리 관련 서비스들에 활용할 수 있는 라이브러리로 LDAP 역시 디렉터리 서비스로 JNDI를 통해 활용할 수 있다. LDAP이 가진 모든 기능(Controls, Extension 등)을 제공한다.
- Spring LDAP : 다양한 프로젝트나 서비스에서 많이 고려되는 Spring 프레임워크를 기반으로 하는 LDAP 라이브러리이다. 기존 자바 라이브러리인 JDNI와 비교해 더욱 간결하고 쉽게 활용할 수 있으며 예외 처리를 유연하게 제공한다.
- UnboundID LDAP : 핑 아이덴티티(Ping Identity)에서 제공하고 있는 자바 기반의 LDAP 라이브러리이다. 다른 LDAP 라이브러리보다 빠르고 쉬우며, 여러 기능을 가진 것을 강점으로 내세우고 있다. UnboundID LDAP은 다양한 데이터 포맷, 암호화 등을 비롯한 관련 API들과 LDAP 기반의 In-Memory 테스트 환경을 제공한다.[2]
각주[편집]
참고자료[편집]
- 〈LDAP〉, 《위키백과》
- 장영준, 〈알아두면 쓸데있는 LDAP〉, 《삼성 SDS》, 2022-05-20
같이 보기[편집]
