Podpisovanie LDAP^{(LDAP signing)} je metóda overovania v systéme Windows Server^{(Windows Server)} , ktorá môže zlepšiť bezpečnosť adresárového servera. Po povolení odmietne každú žiadosť, ktorá nepožaduje podpísanie alebo ak žiadosť nepoužíva šifrovanie SSL/TLS. V tomto príspevku sa podelíme o to, ako môžete povoliť prihlasovanie LDAP na ^(LDAP)Windows Server a klientskych počítačoch. LDAP je skratka pre   Lightweight Directory Access Protocol (LDAP).

Ako povoliť prihlasovanie LDAP na počítačoch so systémom Windows^(Windows)

Aby ste sa uistili, že útočník nepoužije falošného klienta LDAP na zmenu konfigurácie a údajov servera, je nevyhnutné povoliť podpisovanie LDAP . Rovnako dôležité je povoliť ho na klientskych počítačoch.

1. Nastavte^(Set) požiadavku na podpis servera LDAP
2. Nastavte^(Set) požiadavku na podpis klienta LDAP pomocou politiky lokálneho^(Local) počítača
3. Nastavte^(Set) požiadavku na podpis klienta LDAP pomocou objektu Domain Group Policy Object^{(Domain Group Policy Object)}
4. Nastavte^(Set) požiadavku na podpis klienta LDAP pomocou kľúčov databázy Registry^(Registry)
5. Ako overiť zmeny konfigurácie
6. Ako nájsť klientov, ktorí nepoužívajú možnosť „ Vyžadovať^(Require) podpis“ .

Posledná časť vám pomôže zistiť klientov, ktorí nemajú^{(do not have Require signing enabled)} v počítači povolenú možnosť Vyžadovať podpis. Je to užitočný nástroj pre správcov IT na izoláciu týchto počítačov a povolenie nastavení zabezpečenia na počítačoch.

1] Nastavte^(Set) požiadavku na podpis servera LDAP

1. Otvorte konzolu Microsoft Management Console^{(Microsoft Management Console)} (mmc.exe)
2. Vyberte Súbor >  Pridať^(Add) /odstrániť modul > vyberte  Editor objektov politiky skupiny^{(Group Policy Object Editor)} a potom vyberte  Pridať^(Add) .
3. Otvorí sa Sprievodca zásadami skupiny^{(Group Policy Wizard)} . Kliknite^(Click) na tlačidlo Prehľadávať^(Browse) a vyberte  Predvolenú politiku domény^{(Default Domain Policy)} namiesto Lokálny počítač
4. Kliknite^(Click) na tlačidlo OK a potom na tlačidlo Dokončiť^(Finish) a zatvorte ho.
5. Vyberte položku  Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies a potom vyberte položku Možnosti zabezpečenia.
6. Kliknite pravým tlačidlom myši na  Radič domény: Požiadavky^{(Domain controller: LDAP server signing requirements)} na podpis servera LDAP a potom vyberte Vlastnosti.
7. V   dialógovom okne  Radič domény^(Domain) : Požiadavky na podpisovanie servera LDAP – vlastnosti povoľte nastavenie ^(Properties)Definovať toto nastavenie politiky, ^(Define)v zozname Definovať toto nastavenie^{(Require signing in the Define this policy setting list,)} politiky vyberte možnosť  Vyžadovať podpisovanie a potom vyberte položku OK.
8. Znova skontrolujte nastavenia a použite ich.

2] Nastavte^(Set) požiadavku na podpis klienta LDAP pomocou politiky lokálneho počítača

1. Otvorte výzvu Spustiť^(Run) , zadajte príkaz gpedit.msc a stlačte kláves Enter^(Enter) .
2. V editore skupinovej politiky prejdite do časti Local Computer Policy > Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies a potom vyberte položku  Možnosti zabezpečenia.^{(Security Options.)}
3. Kliknite pravým tlačidlom myši na Zabezpečenie siete: Požiadavky na podpis klienta LDAP^{(Network security: LDAP client signing requirements)} a potom vyberte Vlastnosti.
4. V   dialógovom okne  Zabezpečenie siete : ^(Network)Vlastnosti^(Properties) požiadavky na podpis klienta LDAP vyberte v zozname možnosť Vyžadovať podpísanie a potom kliknite na tlačidlo OK.^{(Require signing)}
5. Potvrďte zmeny a použite ich.

3] Nastavte^(Set) požiadavku na podpis klienta LDAP pomocou objektu skupinovej politiky domény^{(Group Policy Object)}

1. Otvorte konzolu Microsoft Management Console (mmc.exe)^{(Open Microsoft Management Console (mmc.exe))}
2. Vyberte  Súbor^(File)  >  Add/Remove Snap-in >  vyberte  Editor objektov politiky skupiny^{(Group Policy Object Editor)} a potom vyberte  Pridať^(Add) .
3. Otvorí sa Sprievodca zásadami skupiny^{(Group Policy Wizard)} . Kliknite^(Click) na tlačidlo Prehľadávať^(Browse) a vyberte  Predvolenú politiku domény^{(Default Domain Policy)} namiesto Lokálny počítač
4. Kliknite^(Click) na tlačidlo OK a potom na tlačidlo Dokončiť^(Finish) a zatvorte ho.
5. Vyberte položku  Predvolená politika domény^{(Default Domain Policy)}  >  Konfigurácia počítača^{(Computer Configuration)}  >  Nastavenia systému Windows^{(Windows Settings)}  >  Nastavenia zabezpečenia^{(Security Settings)}  >  Miestne zásady^{(Local Policies)} a potom vyberte položku  Možnosti zabezpečenia^{(Security Options)} .
6. V  dialógovom okne  Zabezpečenie siete: Vlastnosti požiadavky na podpis klienta LDAP ^{(Network security: LDAP client signing requirements Properties )} vyberte v zozname  možnosť Vyžadovať podpísanie  a potom kliknite na ^{(Require signing )}tlačidlo OK^(OK) .
7. Potvrďte^(Confirm) zmeny a použite nastavenia.

4] Nastavte^(Set) požiadavku na podpis klienta LDAP pomocou kľúčov databázy Registry

Prvá a najdôležitejšia vec, ktorú musíte urobiť, je zálohovať váš register

• Otvorte Editor databázy Registry
• Prejdite na HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ <InstanceName> \Parameters
• Kliknite pravým tlačidlom myši^{(Right-click)} na pravú tablu a vytvorte nový DWORD s názvom LDAPServerIntegrity
• Ponechajte predvolenú hodnotu.

<InstanceName >: Názov inštancie služby AD LDS , ktorú chcete zmeniť.

5] Ako^(How) overiť, či zmeny konfigurácie teraz vyžadujú prihlásenie

Aby ste sa uistili, že bezpečnostná politika tu funguje, skontrolujte jej integritu.

1. Prihláste sa do počítača, v ktorom sú nainštalované nástroje AD DS Admin Tools .^{(AD DS Admin Tools)}
2. Otvorte príkazový riadok Run a zadajte ldp.exe a stlačte kláves Enter^(Enter) . Je to používateľské rozhranie používané na navigáciu v priestore názvov Active Directory
3. Vyberte položku Pripojenie > Pripojiť.
4. Do  poľa Server  a  port zadajte názov servera a port vášho adresárového servera, ktorý nie je SSL/TLS, a potom vyberte položku OK.
5. Po nadviazaní spojenia vyberte Connection > Bind.
6. V  časti Typ väzby^(Bind) vyberte možnosť  Jednoduchá^(Simple) väzba.
7. Zadajte meno používateľa a heslo a potom vyberte OK.

Ak sa zobrazí chybové hlásenie, že  Ldap_simple_bind_s() zlyhalo: Vyžaduje sa silné overenie^{(Ldap_simple_bind_s() failed: Strong Authentication Required)} , potom ste úspešne nakonfigurovali svoj adresárový server.

6] Ako^(How) nájsť klientov, ktorí nepoužívajú možnosť „ Vyžadovať^(Require) podpis“ .

Zakaždým, keď sa klientsky počítač pripojí k serveru pomocou protokolu nezabezpečeného pripojenia, vygeneruje ID udalosti 2889^{(Event ID 2889)} . Záznam protokolu bude obsahovať aj adresy IP klientov. Budete to musieť povoliť nastavením  diagnostického nastavenia  16  udalostí rozhrania LDAP na ^{(LDAP Interface Events)}2 (základné). ^{(2 (Basic). )}Zistite, ako nakonfigurovať protokolovanie diagnostických udalostí AD a LDS tu na stránke Microsoft^{(here at Microsoft)} .

Podpisovanie LDAP^{(LDAP Signing)} je kľúčové a dúfam, že vám to pomohlo jasne pochopiť, ako môžete povoliť podpisovanie LDAP v ^(LDAP)systéme Windows Server^{(Windows Server)} a na klientskych počítačoch.

How to enable LDAP signing in Windows Server & Client Machines

LDAP signing is an authentication method in Windows Server that can improve the security of a directory server. Once enabled, it will reject any request that doesn’t ask for signing or if the request is using non-SSL/TLS-encrypted. In this post, we will share how you can enable LDAP signing in Windows Server and client machines. LDAP stands for  Lightweight Directory Access Protocol (LDAP).

How to enable LDAP signing in Windows computers

To make sure that the attacker doesn’t use a forged LDAP client to change server configuration and data, it is essential to enabling LDAP signing.  It is equally important to enable it on the client machines.

1. Set the server LDAP signing requirement
2. Set the client LDAP signing requirement by using Local computer policy
3. Set the client LDAP signing requirement by using the Domain Group Policy Object
4. Set the client LDAP signing requirement by using Registry keys
5. How to verify configuration changes
6. How to find clients that do not use the “Require signing” option

The last section helps you to figure out clients that do not have Require signing enabled on the computer. It is a useful tool for IT admins to isolate those computers, and enable the security settings on the computers.

1] Set the server LDAP signing requirement

1. Open Microsoft Management Console (mmc.exe)
2. Select File > Add/Remove Snap-in > select Group Policy Object Editor, and then select Add.
3. It will open the Group Policy Wizard. Click on the Browse button, and select Default Domain Policy instead of Local Computer
4. Click on the OK button, and then on the Finish button, and close it.
5. Select Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies, and then select Security Options.
6. Right-click Domain controller: LDAP server signing requirements, and then select Properties.
7. In the Domain controller: LDAP server signing requirements Properties dialog box, enable Define this policy setting, select Require signing in the Define this policy setting list, and then select OK.
8. Recheck the settings and apply them.

2] Set the client LDAP signing requirement by using local computer policy

1. Open Run prompt, and type gpedit.msc, and press the Enter key.
2. In the group policy editor, navigate to Local Computer Policy > Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies, and then select Security Options.
3. Right-click on Network security: LDAP client signing requirements, and then select Properties.
4. In the Network security: LDAP client signing requirements Properties dialog box, select Require signing in the list and then choose OK.
5. Confirm changes and apply them.

3] Set the client LDAP signing requirement by using a domain Group Policy Object

1. Open Microsoft Management Console (mmc.exe)
2. Select File > Add/Remove Snap-in > select Group Policy Object Editor, and then select Add.
3. It will open the Group Policy Wizard. Click on the Browse button, and select Default Domain Policy instead of Local Computer
4. Click on the OK button, and then on the Finish button, and close it.
5. Select Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies, and then select Security Options.
6. In the Network security: LDAP client signing requirements Properties dialog box, select Require signing in the list and then choose OK.
7. Confirm changes and apply the settings.

4] Set the client LDAP signing requirement by using registry keys

The first and foremost thing to do is take a backup of your registry

• Open Registry Editor
• Navigate to HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ <InstanceName> \Parameters
• Right-click on the right pane, and create a new DWORD with name LDAPServerIntegrity
• Leave it to its default value.

<InstanceName>: Name of the AD LDS instance that you want to change.

5] How to verify if configuration changes now require sign-in

To make sure the security policy is working here is how to check its integrity.

1. Sign in to a computer that has the AD DS Admin Tools installed.
2. Open Run prompt, and type ldp.exe, and press the Enter key. It is a UI used for navigating through the Active Directory namespace
3. Select Connection > Connect.
4. In Server and Port, type the server name and the non-SSL/TLS port of your directory server, and then select OK.
5. After a connection is established, select Connection > Bind.
6. Under Bind type, select Simple bind.
7. Type the user name and password, and then select OK.

If you receive an error message saying  Ldap_simple_bind_s() failed: Strong Authentication Required, then you have successfully configured your directory server.

6] How to find clients that do not use the “Require signing” option

Every time a client machine connects to the server using an insecure connection protocol, it generates Event ID 2889.  The log entry will also contain the IP addresses of the clients. You will need to enable this by setting the 16 LDAP Interface Events diagnostic setting to 2 (Basic). Learn how to configure AD and LDS diagnostic event logging here at Microsoft.

LDAP Signing is crucial, and I hope the was able to help you clearly understand how you can enable LDAP signing in Windows Server, and on the client machines.

Related posts

• Nakonfigurujte uzamknutie klientskeho účtu vzdialeného prístupu v systéme Windows Server

• Zakázať administratívne zdieľané položky zo servera Windows

• Iperius Backup je bezplatný zálohovací softvér pre Windows Server

• Ako komprimovať nafúknuté podregistre v systéme Windows Server

• Ako povoliť a nakonfigurovať starnutie a čistenie DNS v systéme Windows Server

• Oprava Chyba servera VPN sa nedá dosiahnuť na PIA v systéme Windows 11

• Ako nastaviť FTP server v systéme Windows pomocou IIS

• Ako pridať alebo zmeniť časový server v systéme Windows 11/10

• RSAT chýbajúce nástroje servera DNS v systéme Windows 10

• Opravte chybu Server Not Found Error vo Firefoxe

• Prístup k serveru FTP pomocou príkazového riadka v systéme Windows 10

• Ako nakonfigurovať globálne nastavenia servera proxy v systéme Windows 10

• Oprava chyby spustenia servera Windows Media Player zlyhala

• Nainštalujte nástroje Remote Server Administration Tools (RSAT) v systéme Windows 10

• Opravte chybu, že váš server DNS môže byť nedostupný

• Opravte kód chyby služby Windows Server Update Services 0x80072EE6

• Opravte chybu aktivácie servera Windows Server 0xc004f069

• Synchronizujte hodiny Windows 10 s internetovým časovým serverom

• Kde stiahnuť zostavy Windows Server Insider Preview Builds?

• Ako nainštalovať a zobraziť nástroje vzdialenej správy servera (RSAT) v systéme Windows 11