Windows Server: Slik aktiverer du Secure Lightweight Directory Access Protocol (LDAPS) på en Active Directory-domenekontroller

Lightweight Directory Access Protocol (LDAP) er en av kjerneprotokollene til Active Directory Domain Services. Secure LDAP (LDAPS eller LDAP over SSL eller TLS) gir en måte å sikre LDAP-kommunikasjon gjennom kryptering.
 
Et passende sertifikat må genereres og installeres på en DC for at DC skal kunne bruke LDAPS. Følgende kan brukes som mal for sertifikatforespørselen:

 

;----------------- request.inf -----------------

[Version]

Signature="$Windows NT$

[NewRequest]

Subject = "CN=<DC_fqdn>" ; replace with the FQDN of the DC
KeySpec = 1
KeyLength = 1024
; Larger key sizes (2048, 4096, 8192, or 16384)
; can also be used. They are more secure but larger
; sizes have a greater performance impact.
Exportable = TRUE
MachineKeySet = TRUE
SMIME = False
PrivateKeyArchive = FALSE
UserProtected = FALSE
UseExistingKeySet = FALSE
ProviderName = "Microsoft RSA SChannel Cryptographic Provider"
ProviderType = 12
RequestType = PKCS10
KeyUsage = 0xa0

[EnhancedKeyUsageExtension]

OID=1.3.6.1.5.5.7.3.1 ; Server Authentication

;-----------------------------------------------

Hvis du vil generere et LDAPS-sertifikat, kopierer du teksten ovenfor til Notisblokk. Endre <DC_fqdn> i emnelinjen til det fullstendige domenenavnet til DC der sertifikatet er installert (for eksempel dc1.ad.domain.com).

Avhengig av sertifiseringsinstansen (CA) kan det også være nødvendig med noe eller all følgende informasjon:

• E-postadresse (E)
• Organisasjonsenhet (OU)
• Organisasjon (O)
• By eller lokalitet (L)
• Stat eller provins (S)
• Land eller område (C)

All denne informasjonen kan legges til emnelinjen, som i dette eksemplet:

Subject="E=user@domain.com, CN=dc1.ad.domain.com, OU=Information Technology, O=Company, L=Anywhere, S=Kansas, C=US"

Lagre tekstfilen som request.inf, og kjør certreq -new request.inf request.req fra en ledetekst. Dette genererer en sertifikatforespørsel kalt request.req ved hjelp av informasjonen i tekstfilen.

Når forespørselen er generert, må den sendes til sertifiseringsinstansen. Innsendingsprosedyren kan ikke dokumenteres her, da det avhenger av CA.

Sertifiseringsinstansen genererer sertifikatet, som må lastes ned til DC. Fremgangsmåten for nedlasting varierer også, men sertifikatet må kodes som base64.

Lagre sertifikatet på DC som ldaps.cer, og kjør certreq -accept ldaps.cer for å fullføre den ventende forespørselen og installere sertifikatet. Som standard er sertifikatet installert i DCs personlige lager. MMC-snapin-modulen for sertifikater kan brukes til å bekrefte dette.

DC må nå startes på nytt. Når DC starter opp igjen i Windows, brukes LDAPS automatisk til LDAP-kommunikasjon. Ingen ytterligere konfigurasjon er nødvendig.

Kjører netstat kommando på en hvilken som helst DC viser at lsass.exe-prosessen lytter på TCP-portene 389 og 636, uansett om prosedyren ovenfor er fulgt eller ikke. LDAPS kan imidlertid ikke brukes før et passende sertifikat er installert.

ADSI-redigeringsverktøyet kan brukes til å bekrefte at LDAPS er i bruk:

1. Start ADSI Edit (adsiedit.msc).
2. I venstre rute høyreklikker du på ADSI Edit og velger Koble til... .
3. Velg en navngivningskontekst fra rullegardinmenyen.
4. Merk av for Bruk SSL-basert kryptering.
5. Klikk på Avansert... .
6. Skriv inn 636 som portnummer, og klikk på OK.
7. Port 636 skal vises i Bane-feltet nær toppen av vinduet. Klikk OK for å koble til.
8. Hvis tilkoblingen er vellykket, er LDAPS i bruk.

PowerEdge FC640, PowerEdge M640, PowerEdge M640 (for PE VRTX), PowerEdge MX5016s, PowerEdge MX740C, PowerEdge MX750c, PowerEdge MX760c, PowerEdge MX840C, PowerEdge R240, PowerEdge R250, PowerEdge R260, PowerEdge R340, PowerEdge R350, PowerEdge R360 , PowerEdge R440, PowerEdge R450, PowerEdge R540, PowerEdge R550, PowerEdge R640, PowerEdge R6415, PowerEdge R650, PowerEdge R650xs, PowerEdge R6515, PowerEdge R6525, PowerEdge R660, PowerEdge R660xs, PowerEdge R6615, PowerEdge R6625, PowerEdge R740, PowerEdge R740XD, PowerEdge R740XD2, PowerEdge R7415, PowerEdge R7425, PowerEdge R750, PowerEdge R750XA, PowerEdge R750xs, PowerEdge R7515, PowerEdge R7525, PowerEdge R760, PowerEdge R760XA, PowerEdge R760xd2, PowerEdge R760xs, PowerEdge R7615, PowerEdge R7625, PowerEdge R840, PowerEdge R860, PowerEdge R940, PowerEdge R940xa, PowerEdge R960, PowerEdge T140, PowerEdge T150, PowerEdge T160, PowerEdge T340, PowerEdge T350, PowerEdge T360, PowerEdge T40, PowerEdge T440, PowerEdge T550, PowerEdge T560, PowerEdge T640 ... View More View Less