LDAP imzalamayý Windows Server 2008'de etkinleþtirme hakkýnda

GüvenlikCdizin sunucusu oldukça basit kimlik doðrulamasý ve güvenlik katmaný (SASL) reddetmek için sunucu yapýlandýrma yoluyla geliþtirilebilirLDAP imzalama (bütünlük doðrulama) ve düz metin (SSL/TLS-þifreli olmayan) bir baðlantý üzerinden yapýlan LDAP Basit baðlamalar isteyen baðlar.SASLs anlaþma, Kerberos, NTLM veya Özet gibi protokoller olabilir.

Ýmzalanmamýþ að trafiði yeniden yürütme saldýrýlarýna maruziçindebir saldýrgan, kimlik doðrulama giriþimi ve issu durdururancebir anahtar. Saldýrgan, yasal kullanýcýnýn kimliðine bürünmek için anahtar yeniden kullanabilirsiniz.Cdditionally, imzalanmamýþ að trafiði man-in--middle saldýrýlara açýkiçindebir saldýrgan istemci ile sunucu arasýndaki paketleri yakalar, paketleri deðiþtirir ve sonra bunlarý sunucuya iletir.Bu,bir saldýrganýn bir LDAP sunucusunda gerçekleþir.olabilirsunucunun LDAP istemcisinden gelen sahte istekleri dayalý kararlar vermesine neden.

Bu makalede, bu tür saldýrýlardan korumak için dizin sunucusunun nasýl yapýlandýrýlacaðý açýklanýr.

Discovering clients that do not usetheRequire signingoption

Clients thatrely on unsigned SASL (Negotiate, Kerberos, NTLM, or Digest) LDAP binds or LDAP simple binds over a non-SSL/TLS connectionstop workingafter you makethis configuration change. To helpidentifythese clients, the directory serverlogsa summary event2887one time every 24 hours to indicate how many such binds occurred.We recommend that youconfigure these clients not to use such binds.Afterno such events are observed for an extended period, we recommend that you configure the server to reject such binds.

If more detailed information is required to identify such clients, the directory server can be configured to provide more detailed logs. This additional logging will log an event2889when a client attempts an unsigned LDAP bind. The loggingdisplaystheÝstemci ve istemci çalýþtýðýnýz kimliði IP adresiiçinkimlik doðrulamasý. Bu ek günlük ayarlayarak etkinleþtirilebilir.LDAP Arabirimi olaylarýTanýlama ayarý 2 (Basic). Taný ayarlarýný deðiþtirme hakkýnda daha fazla bilgi için aþaðýdaki Microsoft Web sitesini ziyaret edin:
http://go.Microsoft.com/?linkid=9645087

Dizin sunucusu yapýlandýrýlmýþsa, imzalanmamýþ SASL LDAP reddetmek için baðlar veya LDAP basit bir SSL/TLS olmayan baðlantý üzerinden baðlanýr., dizin sunucusu, Özet bir olayý günlüðe kaydeder2888bir anda her 24hours, bu tür Baðlama giriþimi olduðunda.

Directory, LDAP sunucusu imzalama gerektirecek þekilde yapýlandýrma

Grup Ýlkesi'ni kullanma

Sunucuyu LDAP imzalama gereksinimini ayarlama

1. ' I týklatýnSTART ::,'ý týklatýnÇalýþmaTYPE :Mmc.exe[NULL]'iTamam..
2. Üzerindedosyasýný arayýnmenüsünde týklatýnEkleme bileþeni Kaldýr.
3. ÝçindeEkle / Kaldýr ek bileþeniletiþim kutusunu týklatýnGrup Ýlkesi Yönetimi Düzenleyicisi,'ý týklatýnadd:.
4. ÝçindeSeçme Grup Ýlkesi nesnesiiletiþim kutusunu týklatýnGöz atma.
5. ÝçindeBir Grup Ýlkesi nesnesi için göz atýniletiþim kutusunu týklatýnVarsayýlan etki alaný ilkesialtýndaEtki alanlarý, OU'lar ve baðlý Grup Ýlkesi nesnelerialaný týklatýn ve sonraTamam..
6. ' I týklatýnBitiþ.
7. ' I týklatýnTamam..
8. GeniþletmeVarsayýlan etki alaný denetleyicisi ilkesi, geniþletmeBilgisayar Yapýlandýrmasý, geniþletmeÝlkeleri, geniþletmeWindows Ayarlarý, geniþletmeGüvenlik Ayarlarý, geniþletmeYerel Ýlkeler[NULL]'iGüvenlik seçenekleri.
9. Sað týklatmaEtki alaný denetleyicisi: LDAP sunucu imzalama gereksinimleri[NULL]'iözellikleri..
10. ÝçindeEtki alaný denetleyicisi: LDAP sunucu imzalama gereksinimleri özellikleriiletiþim kutusunu etkinleþtirmekBu ilke ayarýný tanýmla,seçmek için týklatýnÝmzalama gerekiyor:içindeBu ilke ayarýný tanýmlaaçýlan ve sonraTamam..
11. ' I týklatýnEVETiçindeAyar Deðiþikliðini Onaylalistesinde aþaðý taþýmak.

Ýstemci LDAP imzalama gereksinimini ayarlama

1. ' I týklatýnSTART ::,'ý týklatýnÇalýþmaTYPE :Mmc.exe[NULL]'iTamam..
2. Üzerindedosyasýný arayýnmenüsünde týklatýnEkleme bileþeni Kaldýr.
3. ÝçindeEkle / Kaldýr ek bileþeniletiþim kutusunu týklatýnGrup Ýlkesi Nesne Düzenleyicisi,ve sonra' ý týklatýnadd:.
4. ' I týklatýnBitiþ.
5. ' I týklatýnTamam..
6. GeniþletmeYerel Bilgisayar Ýlkesi, geniþletmeBilgisayar Yapýlandýrmasý, geniþletmeÝlkeleri, geniþletmeWindows Ayarlarý, geniþletmeGüvenlik Ayarlarý, geniþletmeYerel Ýlkeler[NULL]'iGüvenlik seçenekleri.
7. Sað týklatmaAð güvenliði: LDAP istemci imzalama gereksinimleri[NULL]'iözellikleri..
8. ÝçindeAð güvenliði: LDAP istemci imzalama gereksinimleri özelliklerilistesinde aþaðý taþýmakseçmek için týklatýnÝmzalama gerekiyor:aþaðý açýlan listesini ve ardýndanTamam..
9. ' I týklatýnEVETiçindeAyar Deðiþikliðini Onaylalistesinde aþaðý taþýmak.

Daha fazla bilgi için, Microsoft Bilgi Bankasý'ndaki makaleyi görüntülemek üzere aþaðýdaki makale numarasýný týklatýn::

Kayýt defteri anahtarlarýný kullanma

Bize, kayýt defteri anahtarlarý deðiþtirmek için git "Benim adýma düzelt"bölümü. Deðiþtirmek isterseniz kendiniz gidin kayýt defteri anahtarlarý "Kendim düzeltmek istiyorum"bölümü.

Benim adýma düzelt

Otomatik olarak bu sorunu gidermek için týklatýnDüzeltindüðme veya baðlantý. ' I týklatýnÇalýþmaiçindeDosya yüklemeiletiþim kutusunu týklatýn ve düzeltme adýmlarýný izleyin, sihirbazýný.




NOTLAR

• Bu sihirbaz yalnýzca Ýngilizce olabilir.. Ancak otomatik düzeltme, Windows'un diðer dil sürümleri için de çalýþmaktadýr..
• Sorun olan bir bilgisayar kullanýyorsanýz, düzeltme kaydetmek, bir flash sürücü veya CD çözüm ve sorun olan bilgisayarda çalýþtýrýn.

Sonra gidin "Bu iþlem sorunu düzeltti mi??"bölümü.

Kendim düzeltmek istiyorum

Önemli:Bu bölüm, yöntem veya görev kayýt defterini deðiþtirme hakkýnda bilgi adýmlarý içerir. Ancak kayýt defterini hatalý olarak deðiþtirirseniz önemli sorunlar oluþabilir.. Bu nedenle, bu adýmlarý dikkatlice uyguladýðýnýzdan emin olun.. Ek koruma için, kayýt defterini deðiþtirmeden önce yedeklemeyi unutmayýn.. Bir sorun oluþursa kayýt defterini daha sonra geri yükleyebilirsiniz.. Kayýt defterini yedekleme ve geri yükleme hakkýnda daha fazla bilgi için, Microsoft Bilgi Bankasý'ndaki makaleyi görüntülemek üzere aþaðýdaki makale numarasýný týklatýn::

1. ' I týklatýnSTART ::,'ý týklatýnÇalýþmaTYPE :regedit[NULL]'iTamam..
2. Aþaðýdaki kayýt defteri alt anahtarýný bulup týklatýn.:
   
   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NTDS\Parameters
3. Sað týklatýnLDAPServerIntegritykayýt defteri girdisini ve sonramodify.
4. DeðiþtirDeðer VerisiKime:2[NULL]'iTamam..
5. Aþaðýdaki kayýt defteri alt anahtarýný bulup týklatýn.:
   
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ldap\Parameters
6. Sað týklatýnLDAPClientIntegritykayýt defteri girdisini ve sonramodify.
7. DeðiþtirmeDeðer VerisiKime:2[NULL]'iTamam..

Active Directory Basit Dizin Hizmetleri (AD LDS), kayýt defteri anahtarý varsayýlan olarak kullanýlabilir deðil.Bu nedenle,yOU oluþturmanýz gerekirCLDAPServerIntegrity kayýt defteriGirdi:REG_DWORD türüaltýndaAþaðýdaki kayýt defteri alt anahtarý:
NOT:INSTANCENAMEAD LDS örneðinizi adýdeðiþtirmek istediðiniz.
Yapýlandýrma deðiþiklikleri doðrulayýn

1. ' I týklatýnSTART ::,'ý týklatýnÇalýþmaTYPE :Ldp.exe[NULL]'iTamam..
2. AltýndaBaðlantýmenüsünde týklatýnBaðlan.
3. Sunucu adýný ve dizin sunucunuzun SSL/TLS olmayan baðlantý noktasý türüSunucualan veBaðlantý Noktasýalan ve seçinTamam..
   NOT:Bir Active Directory etki alaný denetleyicisi için uygun baðlantý noktasý 389 ' dir.
4. Baðlantý kurulduktan sonra seçin.BaðlamaaltýndaBaðlantýMenü.
5. AltýndaBaðlama türüSELECTBasit baðlama.
6. Kullanýcý adý ve parolanýzý yazýn ve ardýndanTamam..

Aþaðýdaki hata iletisini alýrsanýz, dizin sunucusu baþarýyla yapýlandýrdýnýz:

Bu iþlem sorunu düzeltti mi??

• Sorunun giderilip giderilmediðini denetleyin.. Sorun düzeltilmiþse bu bölümle iþiniz bitti demektir.. Sorun çözülmezse, yapabileceklerinizdestek ekibine baþvurma
  (http://support.microsoft.com/contactus)
  .
• Görüþleriniz bizim için önemlidir.. Görüþ veya rapor bu çözüm ile ilgili sorunlar için lütfen bir yorum üzerinde býrakýn "Benim adýma düzelt
  (http://blogs.technet.com/fixit4me/)
  "blog veya bize bire-posta:
  (mailto:fixit4me@microsoft.com?Subject=KB)
  .