简介
查找有关轻型目录访问协议 (LDAP) 更改的常见问题解答。
若要了解详细信息，请转到 ADV190023。
目录
- 我应该阅读哪些资源来准备成功部署 LDAP 通道绑定和 LDAP 签名？
- 你预计强制实施 LDAP 签名时会出现哪些问题？
- 你预计强制实施 LDAP 通道绑定时会出现哪些问题？
- 是否需要颁发新证书才能通过 SSL/TLS 使用 CBT？
- 客户端如何使用 SSL/TLS CBT，我需要更改应用程序吗？
- 这是否意味着我们必须将所有 LDAP 应用程序移动到端口 636 并切换到 SSL/TLS？
- 是否只需要在域控制器 (DC) 上配置通道绑定和签名，还是同时在 DC 和客户端上配置？
备注 本文将定期更新其他问题和答案，以回应客户反馈。
常见问题解答
我应该阅读哪些资源来准备成功部署 LDAP 通道绑定和 LDAP 签名？
ADV190023 |关于启用 LDAP 通道绑定和 LDAP 签名的 Microsoft 指南
KB4520412 2020 针对 Windows 的 LDAP 通道绑定和 LDAP 签名要求
KB935834如何在 Windows Server 2008 中启用 LDAP 签名
KB4563239 安装 ADV190023 后的 LDAP 会话安全设置和要求
Blogs.TN： 识别明文 LDAP 绑定到 DC 的 (发布日期：2016 年 1 月 13 日)
IETF： 通过 HTTP 的令牌绑定
- 本文档介绍了一系列机制，使 HTTP 服务器能够将身份验证令牌 (（如 Cookie 和 OAuth 令牌）) 加密方式绑定到 SSL/TLS [RFC5246] 连接。
TechCommunity： LDAP 通道绑定和 LDAP 签名要求 - 3 月更新 新行为
- 此博客介绍了未使用签名的 LDAP 绑定或通道绑定令牌的设备记录的审核事件。
你预计强制实施 LDAP 签名时会出现哪些问题？
未启用或不支持签名的 LDAP 客户端将不会连接。
如果需要 LDAP 签名，则通过非 TLS 连接的 LDAP 简单绑定将不起作用。
你预计强制实施 LDAP 通道绑定时会出现哪些问题？
如果服务器需要 CBT，则通过 SSL/TLS 连接但不提供 CBT 的 LDAP 客户端将失败。
由中间服务器终止的 SSL/TLS 连接将失败，而中间服务器又向 Active Directory 域控制器发出了新连接。
与 LDAP 签名相比，对通道绑定的支持在第三方操作系统和应用程序中可能不太常见。
是否必须颁发新证书才能通过 SSL/TLS 使用 CBT？
不。
客户端如何使用 SSL/TLS CBT，我必须更改应用程序吗？
基于 .NET Framework、Active Directory 服务接口 (ADSI) 构建的 Windows 应用程序，或对WLDAP32进行 LDAP 调用，从而为您处理 LDAP 签名和通道绑定。 对于非 Windows 设备的 O/S、服务和应用程序，请联系你的 SDK 等效人员。
这是否意味着我们必须将所有 LDAP 应用程序移动到端口 636 并切换到 SSL/TLS？
不。 使用带签名的 SASL 时，LDAP 比端口 389 更安全。
是否必须只在域控制器 (DC) 上配置通道绑定和签名，还是同时在 DC 和客户端上配置？
这些策略仅在 DC 上启用。
参考资料
第三方信息免责声明
本文中提到的第三方产品由 Microsoft 以外的其他公司提供。 对于这些产品的性能或可靠性，我们不作任何暗示保证或其他形式的保证
我们提供了第三方联系信息，以便你寻求技术支持。 该联系信息如有更改，恕不另行通知。 我们不保证此第三方联系信息的准确性。