Windows Server 2003 도메인 컨트롤러에서 Active Directory에 대해 익명 LDAP 작업을 수행할 수 없다

요약

rootDSE 검색 및 바인딩이 아닌 Active Directory에 대한 익명 LDAP(Lightweight Directory Access Protocol) 작업이 Microsoft Windows Server 2003에서 기본적으로 허용되지 않습니다.

이전 버전의 Microsoft Windows 기반 도메인에서 Active Directory는 익명 요청을 받아들입니다. 이러한 버전에서는 Active Directory에서 올바른 사용자 권한을 갖고 있으면 성공적인 결과를 얻을 수 있습니다.

Windows Server 2003에서는 인증된 사용자만 Windows Server 2003 기반 도메인 컨트롤러에 대한 LDAP 요청을 시작할 수 있습니다. 다음과 같은 DN 경로에 있는 dsHeuristics 특성의 7번째 문자를 변경하여 이 새로운 기본 동작을 무시할 수 있습니다.

CN=Directory Service,CN=Windows NT,CN=Services,CN=Configuration,Root domain in forest

dsHeuristics 설정은 동일한 포리스트의 모든 Windows Server 2003 기반 도메인 컨트롤러에 적용됩니다. 이 값은 Windows를 다시 시작하지 않고 Active Directory 복제 시에 도메인 컨트롤러에서 실현됩니다. Microsoft Windows 2000 기반 도메인 컨트롤러에서는 이 설정을 지원하지 않으며 Windows Server 2003 기반 포리스트에 익명 작업이 있는 경우 익명 작업을 제한하지 않습니다.

dsHeuristic 특성의 유효한 값은 0과 0000002입니다. 기본적으로 dsHeuristics 특성은 없지만 이 특성의 내부 기본값은 0입니다. 7번째 문자를 2(0000002)로 설정하면 익명 클라이언트가 Windows 2000 기반 도메인 컨트롤러에서와 마찬가지로 ACL(액세스 제어 목록)에서 허용된 모든 작업을 수행할 수 있습니다.

참고 이 특성이 이미 설정되어 있으면 dsHeuristics 문자열에서 7번째 문자 이외의 문자를 수정하지 마십시오. 값이 설정되어 있지 않으면 7번째 문자까지 0을 입력해야 합니다. 또한 Adsiedit.msc를 사용하여 특성을 변경할 수 있습니다.

Forest_Name.com 포리스트에서 도메인 컨트롤러의 dsHeuristics 문자열은 Ldp.exe를 사용하여 볼 때 다음과 같이 나타납니다. 선택된 특성만 표시됩니다.

>> Dn: CN=Directory Service,CN=Windows NT,CN=Services,CN=Configuration,DC=<forest_name>,DC=com
     2> objectClass: top; nTDSService; 
     1> cn: Directory Service; 
     1> dSHeuristics: 0000002; <-2 in the seventh character = anonymous 
        access allowed. Note the leading zeros.
     1> name: Directory Service;

Microsoft 제품 관련 기술 전문가들과 온라인으로 정보를 교환하시려면 Microsoft 뉴스 그룹
(http://support.microsoft.com/newsgroups/default.aspx)
에 참여하시기 바랍니다.