Avantages de LDAP : pourquoi il reste le standard des annuaires

LDAP (Lightweight Directory Access Protocol) — RFC 4510+ — reste la colonne vertébrale de la gestion d'identité après 30+ ans. Voici pourquoi il domine les annuaires d'entreprise.

10 avantages fondamentaux

1. Standard ouvert (IETF) : Pas de verrouillage fournisseur. Interopérable entre Microsoft AD, OpenLDAP, 389 DS, Apache DS, FreeIPA, Red Hat DS, Oracle, IBM, ForgeRock, Ping, JumpCloud, Azure AD (via LDAPS).
2. Modèle de données hiérarchique (DIT) : Structure en arbre (dc=exemple,dc=com → ou=People → uid=jdoe) reflète la réalité organisationnelle. Profondeur illimitée, schéma flexible.
3. Magasin d'identité centralisé : Source unique de vérité pour utilisateurs, groupes, appareils, services, politiques. Élimine les silos.
4. Fondation authentification/autorisation : Bind (simple, SASL: GSSAPI/Kerberos, EXTERNAL/cert), auth proxy, politiques mot de passe, verrouillage compte, ACI/ACL pour contrôle d'accès granulaire.
5. Multi-plateforme : Tourne sur Linux, Windows, macOS, BSD, Solaris, conteneurs, appliances. Clients dans tous langages (Python ldap3, Java JNDI/UnboundID, Go ldap, .NET Novell/ldap).
6. Réplication multi-maître : Synchronisation active-active entre serveurs géodistribués. Résolution conflits, réplication fractionnée, haute disponibilité.
7. Schéma extensible : Ajout classes d'objets/attributs personnalisés (objectIdentifier, syntaxe, règles de correspondance). Pas de modification du noyau.
8. Performance à l'échelle : Indexation (égalité, présence, sous-chaîne, approximatif), mise en cache entrées, pagination résultats (VLV), opérations asynchrones. Gère 100M+ entrées.
9. Sécurité intégrée : TLS (LDAPS/StartTLS), SASL, ACI, politiques mot de passe (ppolicy), journalisation audit, limites anonymat.
10. Intégration écosystème : Kerberos, RADIUS, SAML/OIDC (via proxies), clés SSH, sudo, automount, DNS, DHCP, PKI, SCIM — tous consomment LDAP.

Avantages opérationnels

• Changement mot de passe unique → tous systèmes
• Provisioning/déprovisioning automatisé (RH → LDAP → aval)
• Accès par groupes (RBAC/ABAC)
• Conformité : piste audit, recertification, séparation des tâches

Quand NE PAS utiliser LDAP

• Écriture intensive, lecture faible (utiliser BD)
• Relations complexes/graphes (utiliser BD graphe)
• Stockage documents (utiliser BD documents)
• Clé-valeur simple (utiliser Redis/Consul)

Évolution moderne

• LDAP sur HTTP (SCIM) : Provisioning RESTful
• LDAP cloud : JumpCloud, Azure AD DS, AWS Managed Microsoft AD, Google Managed AD
• Zero Trust : LDAP comme source d'identité pour vérification continue

LDAP n'est pas legacy — c'est le lingua franca de l'identité. Tout système IAM majeur le parle.