Windows Server: Så här aktiverar du LDAPS (Secure Lightweight Directory Access Protocol) på en Active Directory-domänkontrollant

LDAP (Lightweight Directory Access Protocol) är ett av kärnprotokollen i Active Directory Domain Services. Säker LDAP (LDAPS eller LDAP via SSL eller TLS) är ett sätt att skydda LDAP-kommunikation genom kryptering.
 
Ett lämpligt certifikat måste genereras och installeras på en domänkontrollant för att domänkontrollanten ska kunna använda LDAPS. Följande kan användas som mall för certifikatbegäran:

 

;----------------- request.inf -----------------

[Version]

Signature="$Windows NT$

[NewRequest]

Subject = "CN=<DC_fqdn>" ; replace with the FQDN of the DC
KeySpec = 1
KeyLength = 1024
; Larger key sizes (2048, 4096, 8192, or 16384)
; can also be used. They are more secure but larger
; sizes have a greater performance impact.
Exportable = TRUE
MachineKeySet = TRUE
SMIME = False
PrivateKeyArchive = FALSE
UserProtected = FALSE
UseExistingKeySet = FALSE
ProviderName = "Microsoft RSA SChannel Cryptographic Provider"
ProviderType = 12
RequestType = PKCS10
KeyUsage = 0xa0

[EnhancedKeyUsageExtension]

OID=1.3.6.1.5.5.7.3.1 ; Server Authentication

;-----------------------------------------------

Om du vill generera ett LDAPS-certifikat kopierar du texten ovan till Anteckningar. Ändra <DC_fqdn> på ämnesraden till det fullständigt kvalificerade domännamnet för domänkontrollanten där certifikatet är installerat (till exempel dc1.ad.domain.com).

Beroende på certifikatutfärdare (CA) kan viss eller all följande information också krävas:

• E-postadress (E)
• Organisationsenhet (OU)
• Organisation (O)
• Ort eller ort (L)
• Delstat eller provins (S)
• Land eller region (C)

All den här informationen kan läggas till på ämnesraden , som i det här exemplet:

Subject="E=user@domain.com, CN=dc1.ad.domain.com, OU=Information Technology, O=Company, L=Anywhere, S=Kansas, C=US"

Spara textfilen som request.inf och kör certreq -new request.inf request.req från en kommandotolk. Detta genererar en certifikatbegäran med namnet request.req med hjälp av informationen i textfilen.

När begäran har genererats måste den skickas till certifikatutfärdaren. Inlämningsproceduren kan inte dokumenteras här, eftersom den beror på certifikatutfärdaren.

Certifikatutfärdaren genererar certifikatet, som måste laddas ned till domänkontrollanten. Nedladdningsproceduren varierar också, men certifikatet måste kodas som base64.

Spara certifikatet på domänkontrollanten som ldaps.cer och kör certreq -accept ldaps.cer för att slutföra den väntande begäran och installera certifikatet. Som standard installeras certifikatet i domänkontrollantens personliga arkiv. MMC-snapin-modulen Certifikat kan användas för att bekräfta detta.

Domänkontrollanten måste nu startas om. När domänkontrollanten startas i Windows används LDAPS automatiskt för LDAP-kommunikation. Ingen ytterligare konfiguration krävs.

Köra netstat på valfri domänkontrollant visar att lsass.exe-processen lyssnar på TCP-portarna 389 och 636, oavsett om proceduren ovan har följts eller inte. LDAPS kan dock inte användas förrän ett lämpligt certifikat har installerats.

ADSI-redigeringsverktyget kan användas för att bekräfta att LDAPS används:

1. Starta ADSI-redigering (adsiedit.msc).
2. I den vänstra rutan högerklickar du på ADSI-redigering och väljer Anslut till... .
3. Välj en namngivningskontext i listrutan.
4. Markera Använd SSL-baserad kryptering.
5. Klicka på Avancerat... .
6. Ange 636 som portnummer och klicka på OK.
7. Port 636 bör visas i fältet Sökväg nära toppen av fönstret. Klicka på OK för att ansluta.
8. Om anslutningen lyckas används LDAPS.

PowerEdge FC640, PowerEdge M640, PowerEdge M640 (for PE VRTX), PowerEdge MX5016s, PowerEdge MX740C, PowerEdge MX750c, PowerEdge MX760c, PowerEdge MX840C, PowerEdge R240, PowerEdge R250, PowerEdge R260, PowerEdge R340, PowerEdge R350, PowerEdge R360 , PowerEdge R440, PowerEdge R450, PowerEdge R540, PowerEdge R550, PowerEdge R640, PowerEdge R6415, PowerEdge R650, PowerEdge R650xs, PowerEdge R6515, PowerEdge R6525, PowerEdge R660, PowerEdge R660xs, PowerEdge R6615, PowerEdge R6625, PowerEdge R740, PowerEdge R740XD, PowerEdge R740XD2, PowerEdge R7415, PowerEdge R7425, PowerEdge R750, PowerEdge R750XA, PowerEdge R750xs, PowerEdge R7515, PowerEdge R7525, PowerEdge R760, PowerEdge R760XA, PowerEdge R760xd2, PowerEdge R760xs, PowerEdge R7615, PowerEdge R7625, PowerEdge R840, PowerEdge R860, PowerEdge R940, PowerEdge R940xa, PowerEdge R960, PowerEdge T140, PowerEdge T150, PowerEdge T160, PowerEdge T340, PowerEdge T350, PowerEdge T360, PowerEdge T40, PowerEdge T440, PowerEdge T550, PowerEdge T560, PowerEdge T640 ... View More View Less