LDAP und Active Directory unter Linux mit ldapsearch abfragen, ohne Passwort auf der Kommandozeile

Ziel

Von einem Linux-Host aus eine authentifizierte, verschlüsselte LDAP-Abfrage gegen einen LDAP-Server oder Active Directory ausführen, ohne das Bind-Passwort in der Prozessliste oder der Shell-History preiszugeben.

Voraussetzungen

Das Paket ldap-utils (oder ein Äquivalent), das ldapsearch bereitstellt; entweder eine Bind-DN samt Passwort oder ein gültiges Kerberos-Ticket, das für einen GSSAPI-Bind mit kinit beschafft wurde; die Base-DN des Servers.

Schritte

1. Ein Passwort nie direkt hinter -w auf der Kommandozeile angeben: Es ist für die Laufzeit des Befehls über ps für alle Benutzer des Hosts sichtbar und landet in der Shell-History. Stattdessen -W verwenden (laut Manpage fragt diese Option interaktiv nach dem Bind-Passwort) oder -y <file> (laut Manpage wird der vollständige Inhalt der Datei als Passwort verwendet, ein abschliessender Zeilenumbruch wird also Teil des Passworts). Die Datei mit printf '%s' "$PW" > file statt mit echo schreiben und mit chmod 600 absichern.
2. Beispiel für einen Simple Bind: ldapsearch -x -H ldaps://dc.example.com -D "cn=svc-agent,ou=service,dc=example,dc=com" -y /etc/ldap/svc.pass -b "dc=example,dc=com" "(uid=alice)" cn mail. -x wählt die einfache Authentifizierung; -H ldaps://... verwendet implizites TLS auf Port 636.
3. SASL/GSSAPI-Bind mit einem vorhandenen Kerberos-Ticket, ganz ohne Passwort: zuerst kinit svc-agent@EXAMPLE.COM ausführen (siehe Artikel zu den Grundlagen des Kerberos-Clients), danach ldapsearch -Y GSSAPI -H ldap://dc.example.com -b "dc=example,dc=com" "(sAMAccountName=alice)". Dafür wird das SASL-GSSAPI-Plugin benötigt (libsasl2-modules-gssapi-mit unter Debian/Ubuntu, cyrus-sasl-gssapi in der RHEL-Familie). Zudem kanonisiert ldapsearch den Hostnamen per Reverse-DNS, sofern nicht -N angegeben ist; ein falscher PTR-Eintrag führt daher dazu, dass ein Ticket für den falschen Service Principal angefordert wird.
4. Steht LDAPS nicht zur Verfügung, StartTLS gegenüber unverschlüsseltem LDAP bevorzugen: -ZZ hinzufügen. Laut Manpage verlangt diese Option, dass StartTLS gelingt (ein einzelnes -Z fordert es nur an und fährt fort, wenn der Server ablehnt).
5. Bei grossen Ergebnismengen die Simple-Paged-Results-Control verwenden: -E pr=500/noprompt fordert 500 Einträge pro Seite an und fährt automatisch fort, statt zwischen den Seiten auf einen Tastendruck zu warten, was für unbeaufsichtigte Skripte wichtig ist. Active Directory begrenzt eine Seite durch die Richtlinie MaxPageSize (standardmässig 1000); grössere Werte bringen dort daher nichts.

Erwartetes Ergebnis

Der Befehl liefert LDIF-formatierte Einträge, die zum Filter passen. Ein fehlgeschlagener Bind liefert einen expliziten LDAP-Result-Code (zum Beispiel 49, ungültige Zugangsdaten) statt einer leeren Ergebnismenge. So lässt sich „falsche Zugangsdaten“ von „keine Treffer“ unterscheiden.

Grenzen und Prüfbasis

-y lässt das Passwort weiterhin im Dateiinhalt für jeden lesbar, der Zugriff auf diesen Pfad hat; die Dateiberechtigungen sind daher ebenso wichtig wie der Verzicht auf -w. -ZZ verhält sich fail-closed (der gesamte Bind schlägt fehl), wenn der Server StartTLS nicht unterstützt. Das ist die sicherere Voreinstellung für Skripte, die nicht stillschweigend auf Klartext zurückfallen dürfen.