Podpisywanie LDAP^{(LDAP signing)} to metoda uwierzytelniania w systemie Windows Server^{(Windows Server)} , która może poprawić bezpieczeństwo serwera katalogowego. Po włączeniu odrzuci każde żądanie, które nie prosi o podpisanie lub jeśli żądanie nie jest szyfrowane za pomocą protokołu SSL/TLS. W tym poście przedstawimy, w jaki sposób można włączyć podpisywanie LDAP w ^(LDAP)systemie Windows Server^{(Windows Server)} i komputerach klienckich. LDAP to^(LDAP) skrót od   Lightweight Directory Access Protocol (LDAP).

Jak włączyć podpisywanie LDAP na komputerach z systemem Windows^(Windows)

Aby upewnić się, że osoba atakująca nie użyje sfałszowanego klienta LDAP do zmiany konfiguracji i danych serwera, konieczne jest włączenie podpisywania LDAP . Równie ważne jest włączenie go na komputerach klienckich.

1. Ustaw^(Set) wymaganie podpisywania serwera LDAP
2. Ustaw^(Set) wymaganie podpisywania klienta LDAP za pomocą zasad komputera lokalnego^(Local)
3. Ustaw wymaganie podpisywania ^(Set)LDAP klienta za pomocą obiektu zasad grupy domeny^{(Domain Group Policy Object)}
4. Ustaw^(Set) wymaganie podpisywania klienta LDAP za pomocą kluczy rejestru^(Registry)
5. Jak zweryfikować zmiany w konfiguracji
6. Jak znaleźć klientów, którzy nie korzystają z opcji „ Wymagaj^(Require) podpisywania”

Ostatnia sekcja pomaga w ustaleniu klientów, którzy nie mają włączonej opcji Wymagaj podpisywania^{(do not have Require signing enabled)} na komputerze. Jest to przydatne narzędzie dla administratorów IT do izolowania tych komputerów i włączania ustawień zabezpieczeń na komputerach.

1] Ustaw^(Set) wymaganie podpisywania serwera LDAP

1. Otwórz konsolę zarządzania Microsoft^{(Microsoft Management Console)} (mmc.exe)
2. Wybierz Plik >  Dodaj^(Add) /Usuń przystawkę > wybierz  Edytor obiektów zasad grupy^{(Group Policy Object Editor)} , a następnie wybierz  Dodaj^(Add) .
3. Otworzy się Kreator zasad grupy^{(Group Policy Wizard)} . Kliknij^(Click) przycisk Przeglądaj^(Browse) i wybierz  Domyślne zasady domeny^{(Default Domain Policy)} zamiast Komputer lokalny
4. Kliknij^(Click) przycisk OK, a następnie przycisk Zakończ^(Finish) i zamknij go.
5. Wybierz opcję  Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies , a następnie wybierz Opcje zabezpieczeń.
6. Kliknij prawym przyciskiem myszy  Kontroler domeny: wymagania podpisywania serwera LDAP^{(Domain controller: LDAP server signing requirements)} , a następnie wybierz Właściwości.
7. W  oknie  dialogowym  Właściwości^(Properties) kontrolera domeny^(Domain) : wymagania dotyczące podpisywania serwera LDAP włącz opcję ^(LDAP)Zdefiniuj^(Define) to ustawienie zasad, wybierz opcję  Wymagaj podpisywania na liście Zdefiniuj to ustawienie zasad,^{(Require signing in the Define this policy setting list,)} a następnie wybierz przycisk OK.
8. Sprawdź ponownie ustawienia i zastosuj je.

2] Ustaw wymaganie podpisywania ^(Set)LDAP klienta za pomocą lokalnych zasad komputera

1. Otwórz monit Uruchom^(Run) i wpisz gpedit.msc i naciśnij klawisz Enter .
2. W edytorze zasad grupy przejdź do opcji Local Computer Policy > Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies , a następnie wybierz  Opcje zabezpieczeń.^{(Security Options.)}
3. Kliknij prawym przyciskiem myszy Zabezpieczenia sieci: Wymagania podpisywania klienta LDAP^{(Network security: LDAP client signing requirements)} , a następnie wybierz Właściwości.
4. W  oknie  dialogowym  Właściwości ^(Properties)sieci^(Network) : wymagania dotyczące podpisywania klienta LDAP wybierz z listy opcję ^(LDAP)Wymagaj podpisywania^{(Require signing)} , a następnie wybierz przycisk OK.
5. Potwierdź zmiany i zastosuj je.

3] Ustaw wymaganie podpisywania ^(Set)LDAP klienta za pomocą obiektu zasad grupy domeny^{(Group Policy Object)}

1. Otwórz konsolę zarządzania Microsoft (mmc.exe)^{(Open Microsoft Management Console (mmc.exe))}
2. Wybierz  Plik^(File)  >  Add/Remove Snap-in >  wybierz  Edytor obiektów zasad grupy^{(Group Policy Object Editor)} , a następnie wybierz  Dodaj^(Add) .
3. Otworzy się Kreator zasad grupy^{(Group Policy Wizard)} . Kliknij^(Click) przycisk Przeglądaj^(Browse) i wybierz  Domyślne zasady domeny^{(Default Domain Policy)} zamiast Komputer lokalny
4. Kliknij^(Click) przycisk OK, a następnie przycisk Zakończ^(Finish) i zamknij go.
5. Wybierz opcję  Domyślne zasady domeny^{(Default Domain Policy)}  >  Konfiguracja komputera^{(Computer Configuration)}  >  Ustawienia systemu Windows^{(Windows Settings)}  >  Ustawienia zabezpieczeń^{(Security Settings)}  >  Zasady lokalne^{(Local Policies)} , a następnie wybierz  Opcje zabezpieczeń^{(Security Options)} .
6. W  oknie dialogowym  Właściwości sieci: Wymagania podpisywania klienta LDAP  wybierz z listy opcję ^{(Network security: LDAP client signing requirements Properties )}Wymagaj podpisywania ^{(Require signing )} , a następnie wybierz  OK .
7. Potwierdź^(Confirm) zmiany i zastosuj ustawienia.

4] Ustaw wymaganie podpisywania ^(Set)LDAP klienta za pomocą kluczy rejestru

Pierwszą i najważniejszą rzeczą do zrobienia jest wykonanie kopii zapasowej rejestru

• Otwórz Edytor rejestru
• Przejdź do HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ <InstanceName> \Parameters
• Kliknij prawym przyciskiem myszy^{(Right-click)} w prawym okienku i utwórz nowy DWORD o nazwie LDAPServerIntegrity
• Pozostaw to do wartości domyślnej.

<InstanceName >: nazwa wystąpienia usług AD LDS , które chcesz zmienić.

5] Jak^(How) sprawdzić, czy zmiany konfiguracji wymagają teraz zalogowania?

Aby upewnić się, że polityka bezpieczeństwa działa tutaj, należy sprawdzić jej integralność.

1. Zaloguj się do komputera, na którym zainstalowano narzędzia administracyjne AD DS .^{(AD DS Admin Tools)}
2. Otwórz monit Uruchom^(Run) , wpisz ldp.exe i naciśnij klawisz Enter . Jest to interfejs użytkownika służący do poruszania się po przestrzeni nazw Active Directory
3. Wybierz Połączenie > Połącz.
4. W  polu Serwer^(Server)  i  port wpisz nazwę serwera i port inny niż SSL/TLS serwera katalogowego, a następnie wybierz przycisk OK.
5. Po nawiązaniu połączenia wybierz Połączenie > Powiąż.
6. W  obszarze^(Bind) Typ powiązania wybierz opcję  Powiązanie proste^(Simple) .
7. Wpisz nazwę użytkownika i hasło, a następnie wybierz OK.

Jeśli pojawi się komunikat o błędzie z informacją, że  Ldap_simple_bind_s() nie powiodło się: Wymagane silne uwierzytelnienie^{(Ldap_simple_bind_s() failed: Strong Authentication Required)} , oznacza to, że serwer katalogowy został pomyślnie skonfigurowany.

6] Jak^(How) znaleźć klientów, którzy nie korzystają z opcji „ Wymagaj^(Require) podpisywania”

Za każdym razem, gdy komputer kliencki łączy się z serwerem przy użyciu niezabezpieczonego protokołu połączenia, generuje identyfikator zdarzenia 2889^{(Event ID 2889)} . Wpis dziennika będzie również zawierał adresy IP klientów. Należy to włączyć, ustawiając  ustawienie diagnostyczne  16  zdarzeń interfejsu LDAP na ^{(LDAP Interface Events)}2 (podstawowe). ^{(2 (Basic). )}Dowiedz się, jak skonfigurować rejestrowanie zdarzeń diagnostycznych AD i LDS tutaj w firmie Microsoft^{(here at Microsoft)} .

Podpisywanie LDAP^{(LDAP Signing)} ma kluczowe znaczenie i mam nadzieję, że pomogło to w jasnym zrozumieniu, w jaki sposób można włączyć podpisywanie LDAP w ^(LDAP)systemie Windows Server^{(Windows Server)} i na komputerach klienckich.

How to enable LDAP signing in Windows Server & Client Machines

LDAP signing is an authentication method in Windows Server that can improve the security of a directory server. Once enabled, it will reject any request that doesn’t ask for signing or if the request is using non-SSL/TLS-encrypted. In this post, we will share how you can enable LDAP signing in Windows Server and client machines. LDAP stands for  Lightweight Directory Access Protocol (LDAP).

How to enable LDAP signing in Windows computers

To make sure that the attacker doesn’t use a forged LDAP client to change server configuration and data, it is essential to enabling LDAP signing.  It is equally important to enable it on the client machines.

1. Set the server LDAP signing requirement
2. Set the client LDAP signing requirement by using Local computer policy
3. Set the client LDAP signing requirement by using the Domain Group Policy Object
4. Set the client LDAP signing requirement by using Registry keys
5. How to verify configuration changes
6. How to find clients that do not use the “Require signing” option

The last section helps you to figure out clients that do not have Require signing enabled on the computer. It is a useful tool for IT admins to isolate those computers, and enable the security settings on the computers.

1] Set the server LDAP signing requirement

1. Open Microsoft Management Console (mmc.exe)
2. Select File > Add/Remove Snap-in > select Group Policy Object Editor, and then select Add.
3. It will open the Group Policy Wizard. Click on the Browse button, and select Default Domain Policy instead of Local Computer
4. Click on the OK button, and then on the Finish button, and close it.
5. Select Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies, and then select Security Options.
6. Right-click Domain controller: LDAP server signing requirements, and then select Properties.
7. In the Domain controller: LDAP server signing requirements Properties dialog box, enable Define this policy setting, select Require signing in the Define this policy setting list, and then select OK.
8. Recheck the settings and apply them.

2] Set the client LDAP signing requirement by using local computer policy

1. Open Run prompt, and type gpedit.msc, and press the Enter key.
2. In the group policy editor, navigate to Local Computer Policy > Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies, and then select Security Options.
3. Right-click on Network security: LDAP client signing requirements, and then select Properties.
4. In the Network security: LDAP client signing requirements Properties dialog box, select Require signing in the list and then choose OK.
5. Confirm changes and apply them.

3] Set the client LDAP signing requirement by using a domain Group Policy Object

1. Open Microsoft Management Console (mmc.exe)
2. Select File > Add/Remove Snap-in > select Group Policy Object Editor, and then select Add.
3. It will open the Group Policy Wizard. Click on the Browse button, and select Default Domain Policy instead of Local Computer
4. Click on the OK button, and then on the Finish button, and close it.
5. Select Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies, and then select Security Options.
6. In the Network security: LDAP client signing requirements Properties dialog box, select Require signing in the list and then choose OK.
7. Confirm changes and apply the settings.

4] Set the client LDAP signing requirement by using registry keys

The first and foremost thing to do is take a backup of your registry

• Open Registry Editor
• Navigate to HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ <InstanceName> \Parameters
• Right-click on the right pane, and create a new DWORD with name LDAPServerIntegrity
• Leave it to its default value.

<InstanceName>: Name of the AD LDS instance that you want to change.

5] How to verify if configuration changes now require sign-in

To make sure the security policy is working here is how to check its integrity.

1. Sign in to a computer that has the AD DS Admin Tools installed.
2. Open Run prompt, and type ldp.exe, and press the Enter key. It is a UI used for navigating through the Active Directory namespace
3. Select Connection > Connect.
4. In Server and Port, type the server name and the non-SSL/TLS port of your directory server, and then select OK.
5. After a connection is established, select Connection > Bind.
6. Under Bind type, select Simple bind.
7. Type the user name and password, and then select OK.

If you receive an error message saying  Ldap_simple_bind_s() failed: Strong Authentication Required, then you have successfully configured your directory server.

6] How to find clients that do not use the “Require signing” option

Every time a client machine connects to the server using an insecure connection protocol, it generates Event ID 2889.  The log entry will also contain the IP addresses of the clients. You will need to enable this by setting the 16 LDAP Interface Events diagnostic setting to 2 (Basic). Learn how to configure AD and LDS diagnostic event logging here at Microsoft.

LDAP Signing is crucial, and I hope the was able to help you clearly understand how you can enable LDAP signing in Windows Server, and on the client machines.

Related posts

• Skonfiguruj blokadę konta klienta dostępu zdalnego w systemie Windows Server

• Wyłącz udziały administracyjne z systemu Windows Server

• Iperius Backup to darmowe oprogramowanie do tworzenia kopii zapasowych dla systemu Windows Server

• Jak skompresować nadęte gałęzie rejestru w systemie Windows Server?

• Jak włączyć i skonfigurować starzenie i oczyszczanie DNS w systemie Windows Server?

• Jak usunąć role i funkcje w systemie Windows Server

• RSAT brakuje narzędzi serwera DNS w systemie Windows 10

• Klient Windows Update nie wykrył z błędem 0x8024001f

• Zdalny dostęp do komputera z systemem Windows XP lub Windows Server 2003

• Napraw błąd Sklepu Windows Serwer potknął się

• Rozwiązywanie problemów z łącznością w sieci Windows Server za pomocą programu PowerShell

• Usługa klienta DHCP daje błąd odmowy dostępu w systemie Windows 11/10

• Twój serwer DNS może być niedostępny w systemie Windows 11/10

• Jak zautomatyzować tworzenie kopii zapasowych systemu Windows Server w Amazon S3

• Jak zmienić serwer DNS w systemie Windows 11?

• Skąd pobrać kompilacje Windows Server Insider Preview?

• Zresetuj klienta Windows Update za pomocą skryptu PowerShell

• Jak naprawić błąd „Serwer RPC jest niedostępny” w systemie Windows

• Jak dodać lub zmienić serwer czasu w systemie Windows 11/10?

• Narzędzie publicznego serwera DNS to darmowy zmieniacz DNS dla systemu Windows 10