Directorio virtual

En el cálculo, el término directorio virtual tiene un par de significados. Puede simplemente designar (por ejemplo en IIS) una carpeta que aparece en un camino pero que no es en realidad un subcarpeta de la carpeta anterior en el camino. Sin embargo, este artículo discutirá el término en el contexto de los servicios de directorios y la gestión de la identidad.

Un directorio virtual o servidor de directorio virtual (VDS) en este contexto es una capa de software que ofrece un único punto de acceso para aplicaciones de gestión de identidades y plataformas de servicios. Un directorio virtual opera como una capa de abstracción liviana y de alto rendimiento que reside entre las aplicaciones cliente y tipos dispares de repositorios de datos de identidad, como directorios, bases de datos, servicios web y aplicaciones propietarios y estándar.

Un directorio virtual recibe consultas y las dirige a las fuentes de datos apropiadas abstrayendo y virtualizando datos. El directorio virtual integra datos de identidad de múltiples almacenes de datos heterogéneos y los presenta como si provinieran de una sola fuente. Esta capacidad de acceder a repositorios dispares hace que la tecnología de directorio virtual sea ideal para consolidar datos almacenados en un entorno distribuido.

A partir de 2011, los servidores de directorios virtuales utilizan más comúnmente el protocolo LDAP, pero los directorios virtuales más sofisticados también pueden admitir SQL, así como DSML y SPML.

Los expertos de la industria han anunciado la importancia del directorio virtual en la modernización de la infraestructura de identidad. Según Dave Kearns de Network World, "la virtualización está de moda y un directorio virtual es la piedra angular o la base que debería considerar para su próximo proyecto de gestión de identidades". Además, el analista de Gartner, Bob Blakley, afirmó que los directorios virtuales están desempeñando un papel cada vez más vital. En su informe, "La arquitectura emergente de la gestión de identidades", Blakley escribió: "En la primera fase, la producción de identidades se separará del consumo de identidades mediante la introducción de una interfaz de directorio virtual".

Capacidades

Los directorios virtuales pueden tener algunas o todas las siguientes capacidades:

• Datos de identidad agregados entre fuentes para crear un solo punto de acceso.
• Crear alta disponibilidad para tiendas de datos autorizadas.
• Actúa como cortafuegos de identidad evitando ataques de denegación de servicio en las principales tiendas de datos a través de una capa virtual adicional.
• Soporta un espacio de nombre común para la autenticación centralizada.
• Presentar una vista virtual unificada de la información del usuario almacenada en múltiples sistemas.
• La autenticación del Delegado a las fuentes de respaldo a través de medios de seguridad específicos para fuentes.
• Virtualizar fuentes de datos para apoyar la migración de las tiendas de datos heredadas sin modificar las aplicaciones que dependen de ellas.
• Enriquecer identidades con atributos extraídos de múltiples tiendas de datos, basado en un enlace entre las entradas del usuario.

Algunas plataformas avanzadas de virtualización de identidades también pueden:

• Permitir vistas específicas de los datos de identidad a la aplicación, sin violar las normas internas o externas que rigen los datos de identidad. Reveal contextual relationships between objects through hierarchical directory structures.
• Desarrollar correlación avanzada en diversas fuentes utilizando reglas de correlación.
• Construir una identidad de usuario global correlacionando cuentas de usuario únicas en varias tiendas de datos, y enriquecer identidades con atributos extraídos de múltiples almacenes de datos, basados en un enlace entre entradas de usuario.
• Permite una actualización constante de datos para actualizaciones en tiempo real a través de un caché persistente.

Ventajas

Directorios virtuales:

• Permitir un despliegue más rápido porque los usuarios no necesitan agregar y sincronizar fuentes adicionales de datos específicas para aplicaciones
• Aprovechar las inversiones existentes en infraestructura de identidad y seguridad para desplegar nuevos servicios
• Proporcionar alta disponibilidad de fuentes de datos
• Proporcionar opiniones específicas sobre la aplicación de los datos de identidad que pueden ayudar a evitar la necesidad de desarrollar un esquema empresarial maestro
• Permitir una sola visión de los datos de identidad sin violar las normas internas o externas que rigen los datos de identidad
• Actúa como cortafuegos de identidad evitando ataques de denegación de servicio en las principales tiendas de datos y proporcionando mayor seguridad en el acceso a datos confidenciales
• Puede reflejar los cambios realizados en fuentes autorizadas en tiempo real
• Aprovecha los procesos de actualización existentes de fuentes autorizadas, por lo que no se necesita un proceso separado (a veces manual) para actualizar un directorio central
• Presentar una visión virtual unificada de la información de usuario de múltiples sistemas para que parezca residir en un sistema único
• Puede asegurar todos los lugares de almacenamiento de backend con una sola política de seguridad

Desventajas

Una desventaja original es la percepción pública de la estrategia "push & tirar de tecnologías" cuál es la clasificación general de los "directorios virtuales" dependiendo de la naturaleza de su despliegue. Los directorios virtuales se diseñaron inicialmente y luego se implementaron con "tecnologías push" en mente, lo que también contravenía las leyes de privacidad de los Estados Unidos. Este ya no es el caso. Sin embargo, las tecnologías actuales presentan otras desventajas.

• El directorio virtual clásico basado en proxy no puede modificar las estructuras de datos subyacentes ni crear nuevas vistas basadas en las relaciones de los datos desde múltiples sistemas. Así que si una aplicación requiere una estructura diferente, como una lista aplanada de identidades, o una jerarquía más profunda para la administración delegada, un directorio virtual es limitado.
• Muchos directorios virtuales no pueden correlacionar a los mismos usuarios en múltiples fuentes diversas en el caso de usuarios duplicados
• Los directorios virtuales sin tecnologías avanzadas de caché no pueden escalar a entornos heterogéneos de alto volumen.

Terminología de muestra

• Unificar los metadatos: Extraer esquemas de la fuente de datos local, mapearlos a un formato común, y vincular las mismas identidades de diferentes silos de datos basados en un identificador único.
• Nombre del espacio: Cree un único directorio grande al reunir a varios directorios a nivel de namespace. Por ejemplo, si un directorio tiene el espacio de nombres "ou=internal,dc=domain,dc=com" y un segundo directorio tiene el espacio de nombres "ou=external,dc=domain,dc=com", luego crear un directorio virtual con ambos espacios de nombre es un ejemplo de unión namespace.
• Identidad: Enriquecer identidades con atributos extraídos de múltiples tiendas de datos, basado en un enlace entre las entradas del usuario. Por ejemplo, si el usuario joeuser existe en un directorio como "cn=joeuser,ou=users" y en una base de datos con un nombre de usuario de "joeuser" entonces la identidad "joeuser" se puede construir tanto desde el directorio como en la base de datos.
• Remapping de datos: La traducción de datos dentro del directorio virtual. Por ejemplo, mapear “uid” a “samaccountname”, por lo que una aplicación cliente que solo soporta una fuente de datos compatible con LDAP estándar es capaz de buscar un espacio de nombres de Active Directory, también.
• Query routing: Solicitudes de ruta basadas en ciertos criterios, como “escribir operaciones yendo a un maestro, mientras que las operaciones leídas se envían a réplicas. ”
• Identidad: Los directorios virtuales pueden apoyar el enrutamiento de solicitudes basadas en ciertos criterios (como las operaciones de escritura van a un maestro mientras leen las operaciones que se envían a réplicas).
• Fuente autorizada: Un repositorio de datos "virtualizado", como un directorio o una base de datos, que el directorio virtual puede confiar en los datos del usuario.
• Grupos de servidores: Grupo uno o más servidores que contienen los mismos datos y funcionalidad. Una implementación típica es el entorno multi-master, multi-replica en el que las réplicas procesan las solicitudes "read" y están en un grupo servidor, mientras que los maestros procesan las solicitudes "escribir" y están en otro, de modo que los servidores se agrupan por su respuesta a estímulos externos, aunque todos comparten los mismos datos.

Casos de uso

Los siguientes son casos de uso de muestras de directorios virtuales:

• Integrando múltiples directorios namespaces para crear un directorio central de empresa.
• Apoyo a las integraciones de infraestructura después de fusiones y adquisiciones.
• Centralizar el almacenamiento de identidad en toda la infraestructura, facilitando información de identidad a las aplicaciones a través de diversos protocolos (incluyendo LDAP, JDBC y servicios web).
• Creación de un único punto de acceso para herramientas de gestión del acceso web (WAM).
• Activar un solo signo web (SSO) en diversas fuentes o dominios.
• Supporting role-based, fine-grained authorization policies
• Realizar autenticación a través de diferentes dominios de seguridad utilizando el método específico de verificación credencial de cada dominio.
• Mejorar el acceso seguro a la información tanto dentro como fuera del cortafuegos.