Ký LDAP^{(LDAP signing)} là một phương pháp xác thực trong Windows Server có thể cải thiện tính bảo mật của máy chủ thư mục. Sau khi được bật, nó sẽ từ chối bất kỳ yêu cầu nào không yêu cầu ký hoặc nếu yêu cầu đang sử dụng không được mã hóa SSL / TLS. Trong bài đăng này, chúng tôi sẽ chia sẻ cách bạn có thể kích hoạt tính năng đăng nhập LDAP trong ^(LDAP)Windows Server và máy khách. LDAP là viết tắt của   Lightweight Directory Access Protocol (LDAP).

Cách bật tính năng đăng nhập LDAP trong máy tính Windows

Để đảm bảo rằng kẻ tấn công không sử dụng máy khách LDAP giả mạo để thay đổi cấu hình máy chủ và dữ liệu, điều cần thiết là bật tính năng ký LDAP . Điều quan trọng không kém là kích hoạt nó trên các máy khách.

1. Đặt^(Set) yêu cầu ký LDAP của máy chủ
2. Đặt^(Set) yêu cầu ký LDAP của ứng dụng khách bằng cách sử dụng Chính^(Local) sách máy tính cục bộ
3. Đặt^(Set) yêu cầu ký LDAP của ứng dụng khách bằng cách sử dụng Đối tượng chính sách nhóm miền^{(Domain Group Policy Object)}
4. Đặt^(Set) yêu cầu ký LDAP của ứng dụng khách bằng cách sử dụng khóa đăng ký^(Registry)
5. Cách xác minh các thay đổi cấu hình
6. Cách tìm khách hàng không sử dụng tùy chọn " Yêu cầu^(Require) ký"

Phần cuối cùng giúp bạn tìm ra các ứng dụng khách chưa bật Yêu cầu ký^{(do not have Require signing enabled)} trên máy tính. Đây là một công cụ hữu ích cho quản trị viên CNTT để cô lập các máy tính đó và kích hoạt cài đặt bảo mật trên máy tính.

1] Đặt^(Set) yêu cầu ký LDAP của máy chủ

1. Mở Microsoft Management Console (mmc.exe)
2. Chọn Tệp>  Thêm^(Add) / Xóa Snap-in> chọn  Trình chỉnh sửa đối tượng chính sách nhóm^{(Group Policy Object Editor)} , sau đó chọn  Thêm^(Add) .
3. Nó sẽ mở Trình hướng dẫn Chính sách Nhóm^{(Group Policy Wizard)} . Nhấp^(Click) vào nút Duyệt qua^(Browse) và chọn  Chính sách miền mặc định^{(Default Domain Policy)} thay vì Máy tính cục bộ
4. Bấm^(Click) vào nút OK, sau đó bấm vào nút Kết thúc^(Finish) và đóng nó.
5. Chọn  Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies , sau đó chọn Tùy chọn bảo mật.
6. Bấm chuột phải vào Bộ  điều khiển miền: Yêu cầu ký máy chủ LDAP^{(Domain controller: LDAP server signing requirements)} , sau đó chọn Thuộc tính.
7. Trong  bộ điều khiển miền^(Domain) : Yêu cầu ký máy chủ LDAP  hộp thoại  Thuộc tính , bật ^(Properties)Xác định^(Define) cài đặt chính sách này, chọn  Yêu cầu đăng nhập trong danh sách Xác định cài đặt chính sách này,^{(Require signing in the Define this policy setting list,)} sau đó chọn OK.
8. Kiểm tra lại các cài đặt và áp dụng chúng.

2] Đặt^(Set) yêu cầu ký LDAP của ứng dụng khách bằng cách sử dụng chính sách máy tính cục bộ

1. Mở lời nhắc Run , nhập gpedit.msc, rồi nhấn phím Enter .
2. Trong trình chỉnh sửa chính sách nhóm, điều hướng đến Local Computer Policy > Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies bộ , rồi chọn  Tùy chọn Bảo mật.^{(Security Options.)}
3. Bấm chuột phải vào Bảo mật mạng: Yêu cầu ký ứng khách LDAP^{(Network security: LDAP client signing requirements)} , sau đó chọn Thuộc tính.
4. Trong   hộp thoại  Bảo mật mạng^(Network) : Yêu cầu ký ứng khách LDAP thuộc tính , chọn ^(Properties)Yêu cầu đăng nhập^{(Require signing)} trong danh sách và sau đó chọn OK.
5. Xác nhận các thay đổi và áp dụng chúng.

3] Đặt^(Set) yêu cầu ký LDAP của ứng dụng khách bằng cách sử dụng Đối tượng chính sách nhóm miền^{(Group Policy Object)}

1. Mở Microsoft Management Console (mmc.exe)^{(Open Microsoft Management Console (mmc.exe))}
2. Chọn  Tệp^(File)  >  Add/Remove Snap-in >  chọn  Trình chỉnh sửa đối tượng chính sách nhóm^{(Group Policy Object Editor)} , sau đó chọn  Thêm^(Add) .
3. Nó sẽ mở Trình hướng dẫn Chính sách Nhóm^{(Group Policy Wizard)} . Nhấp^(Click) vào nút Duyệt qua^(Browse) và chọn  Chính sách miền mặc định^{(Default Domain Policy)} thay vì Máy tính cục bộ
4. Bấm^(Click) vào nút OK, sau đó bấm vào nút Kết thúc^(Finish) và đóng nó.
5. Chọn  Chính sách miền mặc định^{(Default Domain Policy)}  >  Cấu hình máy tính^{(Computer Configuration)}  >  Cài đặt Windows^{(Windows Settings)}  >  Cài đặt bảo mật^{(Security Settings)}  >  Chính sách cục bộ^{(Local Policies)} , sau đó chọn  Tùy chọn bảo mật^{(Security Options)} .
6. Trong  hộp thoại  Bảo mật mạng: Yêu cầu ký ứng khách LDAP thuộc tính  , chọn ^{(Network security: LDAP client signing requirements Properties )}Yêu cầu đăng nhập ^{(Require signing )} trong danh sách và sau đó chọn  OK .
7. Xác nhận^(Confirm) các thay đổi và áp dụng cài đặt.

4] Đặt^(Set) yêu cầu ký LDAP của ứng dụng khách bằng cách sử dụng các khóa đăng ký

Điều đầu tiên và quan trọng nhất cần làm là sao lưu sổ đăng ký của bạn

• Mở Registry Editor
• Điều hướng đến HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ <InstanceName> \Parameters
• Nhấp chuột^{(Right-click)} phải vào ngăn bên phải và tạo DWORD mới với tên LDAPServerIntegrity
• Để giá trị mặc định của nó.

<InstanceName >: Tên của phiên bản AD LDS mà bạn muốn thay đổi.

5] Cách^(How) xác minh xem các thay đổi cấu hình hiện có yêu cầu đăng nhập hay không

Để đảm bảo chính sách bảo mật đang hoạt động ở đây là cách kiểm tra tính toàn vẹn của nó.

1. Đăng nhập vào máy tính đã cài đặt Công cụ quản trị AD DS^{(AD DS Admin Tools)} .
2. Mở lời nhắc Chạy^(Run) , nhập ldp.exe, rồi nhấn phím Đi vào^(Enter) . Nó là một giao diện người dùng được sử dụng để điều hướng qua không gian tên Active Directory
3. Chọn Kết nối> Kết nối.
4. Trong  Máy chủ^(Server)  và  Cổng^(Port) , nhập tên máy chủ và cổng không phải SSL / TLS của máy chủ thư mục của bạn, sau đó chọn OK.
5. Sau khi kết nối được thiết lập, hãy chọn Kết nối> Ràng buộc.
6. Trong  Loại ràng buộc^(Bind) , hãy chọn  Liên kết đơn giản^(Simple) .
7. Nhập tên người dùng và mật khẩu, sau đó chọn OK.

Nếu bạn nhận được thông báo lỗi cho biết  Ldap_simple_bind_s () không thành công: Yêu cầu xác thực mạnh^{(Ldap_simple_bind_s() failed: Strong Authentication Required)} , thì bạn đã cấu hình thành công máy chủ thư mục của mình.

6] Cách^(How) tìm khách hàng không sử dụng tùy chọn " Yêu cầu^(Require) ký"

Mỗi khi máy khách kết nối với máy chủ bằng giao thức kết nối không an toàn, nó sẽ tạo ra ID sự kiện 2889^{(Event ID 2889)} . Mục nhập nhật ký cũng sẽ chứa địa chỉ IP của các máy khách. Bạn sẽ cần bật tính năng này bằng cách đặt cài đặt  chẩn đoán  Sự kiện giao diện 16  LDAP thành ^{(LDAP Interface Events)}2 (Cơ bản). ^{(2 (Basic). )}Tìm hiểu cách định cấu hình ghi nhật ký sự kiện chẩn đoán AD và LDS tại Microsoft^{(here at Microsoft)} .

LDAP Signing là rất quan trọng và tôi hy vọng nó có thể giúp bạn hiểu rõ ràng cách bạn có thể kích hoạt tính năng đăng nhập LDAP trong ^(LDAP)Windows Server và trên các máy khách.

How to enable LDAP signing in Windows Server & Client Machines

LDAP signing is an authentication method in Windows Server that can improve the security of a directory server. Once enabled, it will reject any request that doesn’t ask for signing or if the request is using non-SSL/TLS-encrypted. In this post, we will share how you can enable LDAP signing in Windows Server and client machines. LDAP stands for  Lightweight Directory Access Protocol (LDAP).

How to enable LDAP signing in Windows computers

To make sure that the attacker doesn’t use a forged LDAP client to change server configuration and data, it is essential to enabling LDAP signing.  It is equally important to enable it on the client machines.

1. Set the server LDAP signing requirement
2. Set the client LDAP signing requirement by using Local computer policy
3. Set the client LDAP signing requirement by using the Domain Group Policy Object
4. Set the client LDAP signing requirement by using Registry keys
5. How to verify configuration changes
6. How to find clients that do not use the “Require signing” option

The last section helps you to figure out clients that do not have Require signing enabled on the computer. It is a useful tool for IT admins to isolate those computers, and enable the security settings on the computers.

1] Set the server LDAP signing requirement

1. Open Microsoft Management Console (mmc.exe)
2. Select File > Add/Remove Snap-in > select Group Policy Object Editor, and then select Add.
3. It will open the Group Policy Wizard. Click on the Browse button, and select Default Domain Policy instead of Local Computer
4. Click on the OK button, and then on the Finish button, and close it.
5. Select Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies, and then select Security Options.
6. Right-click Domain controller: LDAP server signing requirements, and then select Properties.
7. In the Domain controller: LDAP server signing requirements Properties dialog box, enable Define this policy setting, select Require signing in the Define this policy setting list, and then select OK.
8. Recheck the settings and apply them.

2] Set the client LDAP signing requirement by using local computer policy

1. Open Run prompt, and type gpedit.msc, and press the Enter key.
2. In the group policy editor, navigate to Local Computer Policy > Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies, and then select Security Options.
3. Right-click on Network security: LDAP client signing requirements, and then select Properties.
4. In the Network security: LDAP client signing requirements Properties dialog box, select Require signing in the list and then choose OK.
5. Confirm changes and apply them.

3] Set the client LDAP signing requirement by using a domain Group Policy Object

1. Open Microsoft Management Console (mmc.exe)
2. Select File > Add/Remove Snap-in > select Group Policy Object Editor, and then select Add.
3. It will open the Group Policy Wizard. Click on the Browse button, and select Default Domain Policy instead of Local Computer
4. Click on the OK button, and then on the Finish button, and close it.
5. Select Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies, and then select Security Options.
6. In the Network security: LDAP client signing requirements Properties dialog box, select Require signing in the list and then choose OK.
7. Confirm changes and apply the settings.

4] Set the client LDAP signing requirement by using registry keys

The first and foremost thing to do is take a backup of your registry

• Open Registry Editor
• Navigate to HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ <InstanceName> \Parameters
• Right-click on the right pane, and create a new DWORD with name LDAPServerIntegrity
• Leave it to its default value.

<InstanceName>: Name of the AD LDS instance that you want to change.

5] How to verify if configuration changes now require sign-in

To make sure the security policy is working here is how to check its integrity.

1. Sign in to a computer that has the AD DS Admin Tools installed.
2. Open Run prompt, and type ldp.exe, and press the Enter key. It is a UI used for navigating through the Active Directory namespace
3. Select Connection > Connect.
4. In Server and Port, type the server name and the non-SSL/TLS port of your directory server, and then select OK.
5. After a connection is established, select Connection > Bind.
6. Under Bind type, select Simple bind.
7. Type the user name and password, and then select OK.

If you receive an error message saying  Ldap_simple_bind_s() failed: Strong Authentication Required, then you have successfully configured your directory server.

6] How to find clients that do not use the “Require signing” option

Every time a client machine connects to the server using an insecure connection protocol, it generates Event ID 2889.  The log entry will also contain the IP addresses of the clients. You will need to enable this by setting the 16 LDAP Interface Events diagnostic setting to 2 (Basic). Learn how to configure AD and LDS diagnostic event logging here at Microsoft.

LDAP Signing is crucial, and I hope the was able to help you clearly understand how you can enable LDAP signing in Windows Server, and on the client machines.

Related posts

• Cấu hình Remote Access Client Account Lockout trong Windows Server

• Vô hiệu hóa cổ phiếu quản trị từ Windows Server

• Iperius Backup: miễn phí để tự động sao lưu trong Windows 10

• Cách nén tổ ong Bloated Registry bằng Windows Server

• Cách Enable & Configure DNS Aging & Scavenging trong Windows Server

• Khắc phục lỗi thực thi máy chủ Windows Media Player không thành công

• Fix ARK Unable đến Query Server Info cho Invite

• Nơi để tải Windows Server Insider Preview Builds?

• DLNA Server là gì và làm thế nào để kích hoạt nó trên Windows 10?

• Reset Windows Update Client sử dụng PowerShell Script

• Fix Your DNS Server có thể là lỗi không khả dụng

• Làm thế nào để thêm hoặc thay đổi Time Server trong Windows 10

• Fix Windows Server Update Services Error Code 0x80072EE6

• RSAT Missing DNS server Công cụ trong Windows 10

• GitAtomic là Git GUI Client cho các hệ thống Windows

• Truy cập từ xa máy tính Windows XP hoặc Windows Server 2003

• Synchronize Windows 10 Clock với Internet Time Server

• Public DNS Server Tool là DNS changer miễn phí cho Windows 10

• Cách thiết lập máy chủ FTP trong Windows bằng IIS

• Fix Site Ca không đạt được, Server IP Could không được tìm thấy