วิธีเปิดใช้งานการลงชื่อเข้าใช้ LDAP ใน Windows Server & Client Machines

การลงนาม LDAP เป็นวิธีการยืนยันตัวตนใน Windows Server ที่สามารถปรับปรุงความปลอดภัยของไดเร็กทอรีเซิร์ฟเวอร์ เมื่อเปิดใช้งานแล้ว จะปฏิเสธคำขอใดๆ ที่ไม่ได้ขอให้ลงชื่อหรือหากคำขอนั้นใช้การเข้ารหัสที่ไม่ได้เข้ารหัส SSL/TLS ในโพสต์นี้ เราจะแชร์วิธีเปิดใช้งานการลงชื่อ LDAP ใน Windows Server และเครื่องไคลเอนต์ LDAP ย่อมาจาก Lightweight Directory Access Protocol (LDAP)

วิธีเปิดใช้งานการลงชื่อเข้าใช้ LDAP ในคอมพิวเตอร์ Windows

เพื่อให้แน่ใจว่าผู้โจมตีไม่ได้ใช้ไคลเอนต์ LDAP ปลอมแปลงเพื่อเปลี่ยนการกำหนดค่าเซิร์ฟเวอร์และข้อมูล จำเป็นต้องเปิดใช้งานการลงนาม LDAP การเปิดใช้งานบนเครื่องไคลเอนต์ก็มีความสำคัญไม่แพ้กัน

1. ตั้งค่าข้อกำหนดการเซ็นชื่อเซิร์ฟเวอร์ LDAP

2. ตั้งค่าข้อกำหนดการลงนาม LDAP ของไคลเอ็นต์โดยใช้นโยบายคอมพิวเตอร์เฉพาะที่

3. ตั้งค่าข้อกำหนดการลงนาม LDAP ของไคลเอ็นต์โดยใช้วัตถุนโยบายกลุ่มโดเมน

4. ตั้งค่าข้อกำหนดการลงนาม LDAP ของไคลเอ็นต์โดยใช้คีย์รีจิสทรี

5. วิธีตรวจสอบการเปลี่ยนแปลงการกำหนดค่า

6. วิธีค้นหาไคลเอ็นต์ที่ไม่ได้ใช้ตัวเลือก "ต้องมีการเซ็นชื่อ"

ส่วนสุดท้ายช่วยให้คุณทราบไคลเอ็นต์ที่ ไม่ต้องเปิดใช้งานการเซ็นชื่อ บนคอมพิวเตอร์ เป็นเครื่องมือที่มีประโยชน์สำหรับผู้ดูแลระบบไอทีในการแยกคอมพิวเตอร์เหล่านั้น และเปิดใช้งานการตั้งค่าความปลอดภัยบนคอมพิวเตอร์

1. ตั้งค่าข้อกำหนดการลงนาม LDAP ของเซิร์ฟเวอร์

1. เปิด Microsoft Management Console (mmc.exe)

2. เลือกไฟล์ > เพิ่ม/ลบสแน็ปอิน > เลือกตัวแก้ไขวัตถุนโยบายกลุ่ม จากนั้นเลือกเพิ่ม

3. มันจะเปิดตัวช่วยสร้างนโยบายกลุ่ม คลิกที่ปุ่มเรียกดู และเลือก นโยบายโดเมนเริ่มต้น แทนคอมพิวเตอร์เฉพาะที่

4. คลิกที่ปุ่ม OK จากนั้นคลิกที่ปุ่ม Finish และปิด

5. เลือกนโยบายโดเมนเริ่มต้น > การกำหนดค่าคอมพิวเตอร์ > การตั้งค่า Windows > การตั้งค่าความปลอดภัย > นโยบายท้องถิ่น จากนั้นเลือกตัวเลือกความปลอดภัย

6. คลิกขวาที่ตัวควบคุมโดเมน: ข้อกำหนดการลงนามเซิร์ฟเวอร์ LDAP แล้วเลือกคุณสมบัติ

7. ในกล่องโต้ตอบคุณสมบัติข้อกำหนดการลงนามของเซิร์ฟเวอร์ LDAP ตัวควบคุมโดเมน ให้เปิดใช้งานกำหนดการตั้งค่านโยบายนี้ เลือกต้องมีการลงนามในรายการกำหนดการตั้งค่านโยบายนี้ จากนั้นเลือกตกลง

8. ตรวจสอบการตั้งค่าอีกครั้งและนำไปใช้

2. ตั้งค่าข้อกำหนดการเซ็นชื่อไคลเอนต์ LDAP โดยใช้นโยบายคอมพิวเตอร์ในระบบ

1. เปิดพรอมต์เรียกใช้แล้วพิมพ์ gpedit.msc แล้วกดปุ่ม Enter

2. ในตัวแก้ไขนโยบายกลุ่ม ให้ไปที่นโยบายคอมพิวเตอร์เฉพาะที่ > การกำหนดค่าคอมพิวเตอร์ > นโยบาย > การตั้งค่า Windows > การตั้งค่าความปลอดภัย > นโยบายภายในเครื่อง จากนั้นเลือก ตัวเลือกความปลอดภัย

3. คลิกขวาที่ ความปลอดภัยของเครือข่าย: ข้อกำหนดการลงนามไคลเอ็นต์ LDAP แล้วเลือกคุณสมบัติ

4. ในกล่องโต้ตอบคุณสมบัติการรักษาความปลอดภัยเครือข่าย: ข้อกำหนดการลงนามไคลเอ็นต์ LDAP ให้เลือกต้องมีการลงนามในรายการ จากนั้นเลือกตกลง

5. ยืนยันการเปลี่ยนแปลงและนำไปใช้

3. ตั้งค่าข้อกำหนดการเซ็นชื่อไคลเอ็นต์ LDAP โดยใช้โดเมน Group Policy Object

1. เปิด Microsoft Management Console (mmc.exe)

2. เลือก class=uiterm>ไฟล์ > class=uiterm>เพิ่ม/ลบสแนปอิน > เลือก class=uiterm>ตัวแก้ไขวัตถุนโยบายกลุ่ม แล้วเลือก < strong class=uiterm>เพิ่ม

3. มันจะเปิดตัวช่วยสร้างนโยบายกลุ่ม คลิกที่ปุ่มเรียกดู และเลือก class=uiterm>นโยบายโดเมนเริ่มต้น แทนคอมพิวเตอร์เฉพาะที่

4. คลิกที่ปุ่ม OK จากนั้นคลิกที่ปุ่ม Finish และปิด

5. เลือก class=uiterm>นโยบายโดเมนเริ่มต้น > class=uiterm>การกำหนดค่าคอมพิวเตอร์ > class=uiterm>การตั้งค่า Windows > class=uiterm>การตั้งค่าความปลอดภัย< > class=uiterm>นโยบายท้องถิ่น จากนั้นเลือก class=uiterm>ตัวเลือกความปลอดภัย

6. ในกล่องโต้ตอบ class=uiterm>ความปลอดภัยของเครือข่าย: คุณสมบัติข้อกำหนดการลงนามไคลเอ็นต์ LDAP ให้เลือก class=uiterm>ต้องมีการลงนาม ในรายการ จากนั้นเลือก class=uiterm>ตกลง<.

7. ยืนยันการเปลี่ยนแปลงและใช้การตั้งค่า

4. ตั้งค่าข้อกำหนดการเซ็นชื่อไคลเอนต์ LDAP โดยใช้รีจิสตรีคีย์

สิ่งแรกที่ต้องทำคือสำรองข้อมูลรีจิสทรีของคุณ

• เปิดตัวแก้ไขรีจิสทรี

• ไปที่ HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ \Parameters

• คลิกขวาที่บานหน้าต่างด้านขวา และสร้าง DWORD ใหม่โดยใช้ชื่อ LDAPServerIntegrity

• ปล่อยให้เป็นค่าเริ่มต้น

>: ชื่อของอินสแตนซ์ AD LDS ที่คุณต้องการเปลี่ยน

5. วิธีตรวจสอบว่าการเปลี่ยนแปลงการกำหนดค่าจำเป็นต้องลงชื่อเข้าใช้หรือไม่

เพื่อให้แน่ใจว่านโยบายความปลอดภัยใช้งานได้ นี่คือวิธีตรวจสอบความสมบูรณ์ของนโยบาย

1. ลงชื่อเข้าใช้คอมพิวเตอร์ที่ติดตั้ง AD DS Admin Tools

2. เปิดพรอมต์เรียกใช้แล้วพิมพ์ ldp.exe แล้วกดปุ่ม Enter เป็น UI ที่ใช้สำหรับการนำทางผ่านเนมสเปซ Active Directory

3. เลือกการเชื่อมต่อ > เชื่อมต่อ

4. ในเซิร์ฟเวอร์และพอร์ต ให้พิมพ์ชื่อเซิร์ฟเวอร์และพอร์ตที่ไม่ใช่ SSL/TLS ของเซิร์ฟเวอร์ไดเรกทอรี จากนั้นเลือกตกลง

5. หลังจากสร้างการเชื่อมต่อแล้ว ให้เลือกการเชื่อมต่อ > ผูก

6. ภายใต้ประเภทการผูก ให้เลือกการผูกแบบง่าย

7. พิมพ์ชื่อผู้ใช้และรหัสผ่าน จากนั้นเลือก ตกลง

หากคุณได้รับข้อความแสดงข้อผิดพลาดว่า Ldap_simple_bind_s() ล้มเหลว: ต้องตรวจสอบสิทธิ์ที่รัดกุม แสดงว่าคุณกำหนดค่าเซิร์ฟเวอร์ไดเรกทอรีสำเร็จแล้ว

6. วิธีค้นหาไคลเอ็นต์ที่ไม่ใช้ตัวเลือก “ต้องมีการเซ็นชื่อ”

ทุกครั้งที่เครื่องไคลเอ็นต์เชื่อมต่อกับเซิร์ฟเวอร์โดยใช้โปรโตคอลการเชื่อมต่อที่ไม่ปลอดภัย เครื่องจะสร้าง ID เหตุการณ์ 2889 รายการบันทึกจะมีที่อยู่ IP ของไคลเอ็นต์ด้วย คุณจะต้องเปิดใช้งานโดยตั้งค่าการวินิจฉัย 16 class=uiterm>เหตุการณ์อินเทอร์เฟซ LDAP เป็น class=uiterm>2 (พื้นฐาน) เรียนรู้วิธีกำหนดค่าการบันทึกเหตุการณ์การวินิจฉัย AD และ LDS ที่นี่ที่ Microsoft

การเซ็นชื่อ LDAP เป็นสิ่งสำคัญ และฉันหวังว่าการเซ็นชื่อจะสามารถช่วยให้คุณเข้าใจอย่างชัดเจนว่าคุณจะเปิดใช้งานการลงชื่อ LDAP ใน Windows Server และบนเครื่องไคลเอ็นต์ได้อย่างไร