2010 FIM, Self obnovení hesla služby nyní podporuje prosazování všechny zásady hesla domény

Řadič domény-přehled

Instalace aktualizace hotfix pro systém Windows

Použití spustit jako správce možnost při spuštění se odpovídající spustitelný soubor popsány v následující tabulce v řadiči domény.

A ujistěte se, zda je oprava hotfix je nainstalována podle očekávání, lze použít LDP.exe k vyhledání nového ovládacího prvku LDAP, která je součástí opravy hotfix. Informace o řízení LDAP je vrácena v atributu "supportedControl" v RootDSE.

Nový ovládací prvek ID Objektu: "1.2.840.113556.1.4.2066"Další informace o kontrole RootDSE tohoto nového ovládacího prvku používajícího ldp.exe naleznete v dodatku 4.

Kroky konfigurace

Vynucení zásad hesla v roce 2010 FIM povolení

Vynucení historie hesel v roce 2010 FIM povolení je dokončeno vytvořením nastavení registru. To musí být nakonfigurován pro každý agent správy služby Active Directory na kterém chceme povolit vynucení zásad hesla.
Důležité: Ve výchozím nastavení je toto nastavení zakázáno pro všechny agenty správy služby Active Directory.
Poznámka: V následujícím příkladu klíče registru < název ma > měl by být nahrazen název služby Active Directory MA konfiguraci.
Klíč registru: SYSTEM\CurrentControlSet\Services\FIMSynchronizationService\Parameters\PerMAInstance\ < název ma >
Hodnota registru: Nastavit ADMAEnforcePasswordPolicy = 1 Vynutit použití historie hesel. Všechny ostatní hodnoty jsou interpretovány jako vypnutí nové funkce.

Testování a odstraňování problémů

Dodatky na konci tohoto dokumentu je poskytnout další informace, které mohou být užitečné při konfiguraci jednoduchý testovací prostředí. Jsou také odkazy pro řešení potíží s LDAP přes připojení SSL.

Dodatek 1: Nastavte konfiguraci jednoduchý Test

Poznámka: Kroky uvedené v tomto dodatku nejsou určeny k použití v provozním prostředí. Plánování a nasazení certifikátů v provozním prostředí měli důkladně zvážit pro infrastrukturu zabezpečení celé sítě.

Povolte protokol SSL protokolu LDAP v testovacím prostředí, který používá k vydávání certifikátu serveru na řadič domény služby Active Directory Certificate Services.

Instalace služby Active Directory Certificate Services

1. Spusťte správce serveru.

2. Vyberte rolia potom v prostředním podokně klepněte na tlačítko Přidat role .

3. V okně Vybrat role serveru vyberte Active Directory Certificate Servicesa potom klepněte na tlačítko Další.

4. V seznamu služeb rolí vyberte Certifikační úřad a Webový zápis certifikační autority a potom klepněte na tlačítko následující.

5. V okně Zadat typ instalace vyberte možnost organizace a potom klepněte na tlačítko Další.

6. V okně Určit typ CA vyberte možnost Kořenová certifikační Autorita a klikněte na tlačítko Další.

Konfigurace šablony certifikátu řadiče domény povolit zápis

1. Zkontrolujte vlastnosti zabezpečení šablony certifikátu Řadiče domény a ujistěte se, že řadiče domény mít oprávnění k zápisu .

   1. Ve Správci serveru rozbalte role Active Directory Certificate Services .

   2. Klepnutím vyberte Šablony certifikátů.

   3. V seznamu šablony certifikátů klepněte na tlačítko Zobrazit vlastnosti šablony certifikátu Řadiče domény .

   4. Klepněte na kartu zabezpečení .

   5. Klepněte na identitu zabezpečení Řadiče domény .

   6. Potvrďte, že je uděleno oprávnění k zápisu .

2. Ujistěte se, že šablonu certifikátu řadiče domény je publikován v certifikačním úřadu.

   1. Ve stromové struktuře Active Directory Certificate Services rozbalte strom certifikačního úřadu, který má stejný název jako daný certifikační úřad na nastavení.

   2. Ve stromové struktuře certifikačního úřadu klepněte na položku šablony Certifikátů

   3. Zkontrolujte, zda v podokně vpravo a ujistěte se, zda je zde uveden šablonu certifikátu Řadiče domény .

   4. Pokud nenajdete šablonu certifikátu Řadiče domény , postupujte takto:

Nyní jste připraveni požádat o nový certifikát založený na šabloně certifikátu řadiče domény řadiče domény.

Žádosti o certifikát pro řadiče domény

Zaškrtněte políčko vedle položky "Řadiče domény" a klepněte na tlačítko "Zapsat"

Důvěryhodnou kořenovou certifikační Autoritou FIM synchronizace počítače

Kontrola protokolu LDAP přes připojení SSL k primárnímu řadiči DOMÉNY

Nainstalujte nástroje pro správu vzdálené domény

1. Pomocí možnosti Spustit jako správce otevřete příkazový řádek cmd.exe

2. Zadejte následující příkaz a potom stiskněte klávesu ENTER.
   Poznámka: Může být vyžadováno restartování počítače.
   ServerManagerCmd-instalaci sady rsat-přidá
   Ldp.exe je nyní k dispozici

Testování protokolu LDAP přes připojení SSL pomocí Ldp.exe

1. Spusťte Ldp.exe.

2. V nabídce soubor klepněte na tlačítko Připojit.

3. Zadejte dnsHostName (FQDN) řadiče domény, který je vlastníkem role emulátoru primárního řadiče DOMÉNY.

4. Změňte číslo portu 636.

5. Klepněte na tlačítko, chcete-li povolit protokol SSL.

6. Klepněte na tlačítko OK

V podokně vpravo ldp.exe poskytovala informace rootDSE pro úspěšné připojení.
Pokud zjistíte, že připojení nedojde, použijte řešení v následujícím článku KB:
938703 řešení potíží s LDAP přes potíže s připojením SSL

Dodatek 2: Nejčastější dotazy

Otázka Bude to fungovat jako emulátor primárního řadiče DOMÉNY v doméně systému Windows Server 2003 nebo Windows Server 2008 instalací řadiče domény systému Windows Server 2008 R2? Odpovědí Ano. Tato funkce je povolena pomocí ovládacího prvku LDAP, který je umístěn na emulátoru primárního řadiče DOMÉNY. Tak dlouho, dokud tento ovládací prvek se nachází na emulátoru primárního řadiče DOMÉNY, bude fungovat podle očekávání.
Otázka Pokud po instalaci této aktualizace stávajícího nasazení FIM, zruší jeho aktuální konfiguraci samoobslužného vytvoření nového hesla?
Odpovědí Ne. Tato nová funkce je ve výchozím nastavení zakázána agenta správy služby Active Directory. Chcete-li povolit nové funkce se používá následující informace v registru.

Klíč registru
SYSTEM\CurrentControlSet\Services\FIMSynchronizationService\Parameters\PerMAInstance\ < název ma >

Otázka Co se změní na metodu MIIS_CSObject.SetPassword rozhraní WMI pro povolení této funkce?
Odpovědístring SetPassword( [in] string NewPassword, [in] bool ForceChangeAtLogon,
[in] bool UnlockAccount
[in] bool ValidatePasswordPolicy
);

Dodatek 3: Další zdroje informací

Aktuální dokumentaci k protokolu LDAP přes SSL konfigurace a Poradce při potížích

Další informace o povolení protokolu LDAP přes připojení SSL pomocí jiného certifikačního úřadu klepněte na následující číslo článku databáze Microsoft Knowledge Base:
Jak 321051 povolení protokolu LDAP přes připojení SSL pomocí jiného certifikačního úřadu
Další informace o řešení potíží s LDAP přes potíže s připojením SSL získáte v následujícím článku znalostní báze Microsoft Knowledge Base:
938703 řešení potíží s LDAP přes potíže s připojením SSL
Další informace o systému Windows protokolu LDAP nad SSL požadavky naleznete na následujícím webu společnosti Microsoft:

Příklad kódu pro vytvoření relace SSL

Dodatek 4: Použití LDP.exe k vyhledání nového ovládacího prvku LDAP

1. Spusťte Ldp.exe.

2. V nabídce soubor klepněte na tlačítko Připojit.

3. Zadejte dnsHostName (FQDN) řadiče domény, který je vlastníkem role emulátoru primárního řadiče DOMÉNY.

4. Klepněte na tlačítko OK

5. Zkontrolujte okno pravé pro atribut "supportedControls".

6. Zkontrolujte hodnoty supportedControls identifikátoru objektu: "1.2.840.113556.1.4.2066".

V podokně vpravo ldp.exe poskytovala informace rootDSE pro úspěšné připojení.