Εισαγωγή
Βρείτε απαντήσεις σε συνήθεις ερωτήσεις σχετικά με τις αλλαγές στο ελαφρύ πρωτόκολλο πρόσβασης καταλόγου (LDAP).
Για να μάθετε περισσότερα, μεταβείτε στο ADV190023.
Περιεχόμενα
- Ποιους πόρους πρέπει να διαβάσω για να προετοιμαστώ για την επιτυχή ανάπτυξη της σύνδεσης καναλιού LDAP και της υπογραφής LDAP;
- Ποια ζητήματα προβλέπετε με την επιβολή υπογραφής LDAP;
- Ποια ζητήματα προβλέπετε με την επιβολή της δέσμευσης καναλιού LDAP;
- Πρέπει να εκδοθούν νέα πιστοποιητικά για τη χρήση CBT μέσω SSL / TLS;
- Πώς χρησιμοποιούν οι πελάτες το SSL/TLS CBT, χρειάζεται να αλλάξω τις εφαρμογές;
- Αυτό σημαίνει ότι πρέπει να μετακινήσουμε όλες τις εφαρμογές LDAP στη θύρα 636 και να μεταβούμε σε SSL / TLS;
- Η σύνδεση και η υπογραφή καναλιού πρέπει να ρυθμιστούν μόνο στον ελεγκτή τομέα (DC) ή και στους δύο ελεγκτές τομέα και στους υπολογιστές-πελάτες;
Σημείωση Αυτό το άρθρο θα ενημερώνεται τακτικά με πρόσθετες ερωτήσεις και απαντήσεις ως απάντηση στα σχόλια των πελατών.
Συνήθεις ερωτήσεις
Ποιους πόρους πρέπει να διαβάσω για να προετοιμαστώ για την επιτυχή ανάπτυξη της σύνδεσης καναλιού LDAP και της υπογραφής LDAP;
ADV190023 | Οδηγίες της Microsoft για την ενεργοποίηση της σύνδεσης καναλιού LDAP και της υπογραφής LDAP
KB4520412 Απαίτηση σύνδεσης καναλιού LDAP και υπογραφής LDAP για Windows το 2020
KB935834 Τρόπος ενεργοποίησης της εισόδου LDAP στο Windows Server 2008
KB4563239 Ρυθμίσεις και απαιτήσεις ασφαλείας περιόδου λειτουργίας LDAP μετά την εγκατάσταση ADV190023
Blogs.TN: Αναγνώριση συνδέσεων LDAP απλού κειμένου στους ελεγκτές τομέα ( Δημοσίευση: 13 Ιανουαρίου 2016)
IETF: Σύνδεση διακριτικού μέσω HTTP
- Αυτό το έγγραφο περιγράφει ένα σύνολο μηχανισμών που επιτρέπουν στους διακομιστές HTTP να συνδέουν κρυπτογραφικά διακριτικά ελέγχου ταυτότητας (όπως cookies και διακριτικά OAuth) σε συνδέσεις SSL/TLS [RFC5246].
TechCommunity: Απαιτήσεις σύνδεσης καναλιού LDAP και υπογραφής LDAP - ενημέρωση Μαρτίου ΝΕΑ συμπεριφορά
- Αυτό το ιστολόγιο περιγράφει συμβάντα ελέγχου που καταγράφονται από συσκευές που δεν χρησιμοποιούν υπογεγραμμένες συνδέσεις LDAP ή διακριτικά σύνδεσης καναλιού.
Ποια ζητήματα προβλέπετε με την επιβολή υπογραφής LDAP;
Τα προγράμματα-πελάτες LDAP που δεν ενεργοποιούν ή δεν υποστηρίζουν την υπογραφή δεν θα συνδέονται.
Οι απλές συνδέσεις LDAP μέσω συνδέσεων που δεν είναι TLS δεν θα λειτουργούν, εάν απαιτείται υπογραφή LDAP.
Ποια ζητήματα προβλέπετε με την επιβολή της δέσμευσης καναλιού LDAP;
Οι υπολογιστές-πελάτες LDAP που συνδέονται μέσω SSL/TLS, αλλά δεν παρέχουν CBT, θα αποτύχουν εάν ο διακομιστής απαιτεί CBT.
Οι συνδέσεις SSL/TLS που τερματίζονται από έναν ενδιάμεσο διακομιστή, ο οποίος με τη σειρά του εκδίδει μια νέα σύνδεση με έναν ελεγκτή τομέα της υπηρεσίας καταλόγου Active Directory, θα αποτύχουν.
Η υποστήριξη για σύνδεση καναλιού ίσως είναι λιγότερο συχνή σε λειτουργικά συστήματα και εφαρμογές τρίτων από ό,τι για την υπογραφή LDAP.
Πρέπει να εκδοθούν νέα πιστοποιητικά για τη χρήση CBT μέσω SSL / TLS;
Όχι.
Πώς χρησιμοποιούν οι πελάτες το SSL/TLS CBT, πρέπει να αλλάξω τις εφαρμογές;
Εφαρμογές των Windows που έχουν δημιουργηθεί σε .NET Framework, διασυνδέσεις υπηρεσιών καταλόγου υπηρεσία καταλόγου Active Directory (ADSI) ή πραγματοποιούν κλήσεις LDAP σε WLDAP32 το οποίο χειρίζεται υπογραφές LDAP και συνδέσεις καναλιού για εσάς. Επικοινωνήστε με το ισοδύναμο SDK για λειτουργικά συστήματα, υπηρεσίες και εφαρμογές που δεν είναι Windows.
Αυτό σημαίνει ότι πρέπει να μετακινήσουμε όλες τις εφαρμογές LDAP στη θύρα 636 και να μεταβούμε σε SSL / TLS;
Όχι. Όταν χρησιμοποιείται SASL με υπογραφή, το LDAP είναι πιο ασφαλές έναντι της θύρας 389.
Η σύνδεση και η υπογραφή καναλιού πρέπει να ρυθμιστούν μόνο στον ελεγκτή τομέα (DC) ή τόσο στους ελεγκτές τομέα όσο και στους υπολογιστές-πελάτες;
Οι πολιτικές είναι ενεργοποιημένες μόνο σε ελεγκτές τομέα.
Παραπομπές
Αποποίηση ευθυνών για πληροφορίες τρίτων κατασκευαστών
Τα προϊόντα τρίτων κατασκευαστών που περιγράφονται σε αυτό το άρθρο κατασκευάζονται από εταιρείες ανεξάρτητες από τη Microsoft. Δεν παρέχουμε καμία εγγύηση, έμμεση ή άλλη, σχετικά με την απόδοση και την αξιοπιστία αυτών των προϊόντων.
Παρέχουμε στοιχεία επικοινωνίας τρίτων για να σας βοηθήσουμε να βρείτε τεχνική υποστήριξη. Αυτά τα στοιχεία επικοινωνίας μπορεί να αλλάξουν χωρίς προειδοποίηση. Δεν εγγυόμαστε την ακρίβεια αυτών των στοιχείων επικοινωνίας τρίτων.