Windows Server: LDAPS (Secure Lightweight Directory Access Protocol) -protokollan ottaminen käyttöön Active Directory -toimialueen ohjauskoneessa

Summary: Tässä artikkelissa on ohjeet suojatun LDAP:n käyttöönottoon Active Directory -toimialueen ohjauskoneessa.

This article applies to This article does not apply to This article is not tied to any specific product. Not all product versions are identified in this article.
Check out other resources

Instructions

LDAP (Lightweight Directory Access Protocol) on yksi Active Directory -toimialueen palveluiden ydinprotokollista. Secure LDAP (LDAPS tai LDAP over SSL tai TLS) tarjoaa keinon suojata LDAP-tietoliikenne salauksella.
 
HUOMAUTUS: Toimialueen ohjauskone on käynnistettävä uudelleen näiden toimenpiteiden päätteeksi. Ajoitettu huoltoikkuna voi olla tarpeen joissakin ympäristöissä.

Oikea varmenne on luotava ja asennettava ohjauskoneeseen, jotta toimija voi käyttää LDAPS:ää. Varmennepyynnön pohjana voidaan käyttää seuraavaa:

 

;----------------- request.inf -----------------

[Version]

Signature="$Windows NT$

[NewRequest]

Subject = "CN=<DC_fqdn>" ; replace with the FQDN of the DC
KeySpec = 1
KeyLength = 1024
; Larger key sizes (2048, 4096, 8192, or 16384)
; can also be used. They are more secure but larger
; sizes have a greater performance impact.
Exportable = TRUE
MachineKeySet = TRUE
SMIME = False
PrivateKeyArchive = FALSE
UserProtected = FALSE
UseExistingKeySet = FALSE
ProviderName = "Microsoft RSA SChannel Cryptographic Provider"
ProviderType = 12
RequestType = PKCS10
KeyUsage = 0xa0

[EnhancedKeyUsageExtension]

OID=1.3.6.1.5.5.7.3.1 ; Server Authentication

;-----------------------------------------------


Luo LDAPS-varmenne kopioimalla yllä oleva teksti Muistioon. Muuta <Aihe-rivin DC_fqdn> sen toimialuenimen täydelliseksi toimialuenimeksi, johon varmenne on asennettu (esimerkiksi dc1.ad.domain.com).

Varmenteen myöntäjästä riippuen voidaan vaatia myös joitakin tai kaikkia seuraavia tietoja:

  • Sähköpostiosoite (E)
  • Organisaatioyksikkö (OU)
  • Organisaatio (O)
  • Kaupunki tai paikkakunta (L)
  • Osavaltio tai provinssi (P)
  • Maa tai alue (C)
Kaikki nämä tiedot voidaan lisätä Aihe-riville , kuten tässä esimerkissä: 
Subject="E=user@domain.com, CN=dc1.ad.domain.com, OU=Information Technology, O=Company, L=Anywhere, S=Kansas, C=US"
Tallenna tekstitiedosto muodossa request.inf ja suorita komento certreq -new request.inf request.req komentokehotteesta. Tämä luo varmennepyynnön nimeltä request.req tekstitiedoston tietojen perusteella.

Kun pyyntö on luotu, se on lähetettävä varmenteiden myöntäjälle. Toimitusmenettelyä ei voida dokumentoida tässä, koska se riippuu toimivaltaisesta viranomaisesta.

Varmenteen myöntäjä luo varmenteen, joka on ladattava toimipisteeseen. Myös latausmenettely vaihtelee, mutta varmenne on koodattava base64-muotoon.

Tallenna varmenne ohjauslaitteeseen ldaps.cer muodossa ja suorita komento certreq -accept ldaps.cer viimeistelläksesi odottavan pyynnön ja asentaaksesi varmenteen. Varmenne asennetaan oletusarvoisesti DC:n henkilökohtaiseen säilöön. Tämä voidaan vahvistaa MMC:n Varmenteet-laajennuksella.

DC on käynnistettävä uudelleen. Kun ohjauskone käynnistyy takaisin Windowsiin, LDAPS:ää käytetään automaattisesti LDAP-tiedonsiirtoon. Muita määrityksiä ei tarvita.

Additional Information

Suorittaminen netstat Minkä tahansa ohjauskoneen komento osoittaa, että lsass.exe-prosessi kuuntelee TCP-portteja 389 ja 636 riippumatta siitä, onko edellä kuvattua menettelyä noudatettu. LDAPS:ää ei kuitenkaan voi käyttää, ennen kuin asianmukainen varmenne on asennettu.

ADSI Edit -työkalulla voidaan varmistaa, että LDAPS on käytössä:

  1. Käynnistä ADSI Edit (adsiedit.msc).
  2. Napsauta vasemmanpuoleisessa ruudussa hiiren kakkospainikkeella ADSI Edit ja valitse Yhdistä kohteeseen... .
  3. Valitse nimeämiskonteksti avattavasta valikosta.
  4. Valitse Käytä SSL-pohjaista salausta.
  5. Valitse Lisäasetukset... .
  6. Kirjoita portin numeroksi 636 ja valitse OK.
  7. Portin 636 pitäisi näkyä ikkunan yläreunan Polku-kentässä . Muodosta yhteys valitsemalla OK .
  8. Jos yhteyden muodostaminen onnistuu, LDAPS on käytössä.

Affected Products

Microsoft Windows Server 2016, Microsoft Windows Server 2019, Microsoft Windows Server 2022

Products

PowerEdge FC640, PowerEdge M640, PowerEdge M640 (for PE VRTX), PowerEdge MX5016s, PowerEdge MX740C, PowerEdge MX750c, PowerEdge MX760c, PowerEdge MX840C, PowerEdge R240, PowerEdge R250, PowerEdge R260, PowerEdge R340, PowerEdge R350, PowerEdge R360 , PowerEdge R440, PowerEdge R450, PowerEdge R540, PowerEdge R550, PowerEdge R640, PowerEdge R6415, PowerEdge R650, PowerEdge R650xs, PowerEdge R6515, PowerEdge R6525, PowerEdge R660, PowerEdge R660xs, PowerEdge R6615, PowerEdge R6625, PowerEdge R740, PowerEdge R740XD, PowerEdge R740XD2, PowerEdge R7415, PowerEdge R7425, PowerEdge R750, PowerEdge R750XA, PowerEdge R750xs, PowerEdge R7515, PowerEdge R7525, PowerEdge R760, PowerEdge R760XA, PowerEdge R760xd2, PowerEdge R760xs, PowerEdge R7615, PowerEdge R7625, PowerEdge R840, PowerEdge R860, PowerEdge R940, PowerEdge R940xa, PowerEdge R960, PowerEdge T140, PowerEdge T150, PowerEdge T160, PowerEdge T340, PowerEdge T350, PowerEdge T360, PowerEdge T40, PowerEdge T440, PowerEdge T550, PowerEdge T560, PowerEdge T640 ...
Article Properties
Article Number: 000212661
Article Type: How To
Last Modified: 11 Dec 2024
Version:  4
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.