![即使启用“需要签名”,LDAP 仍会引发事件 ID 2887 警告](https://linux22.com/image/627634/%E5%8D%B3%E4%BD%BF%E5%90%AF%E7%94%A8%E2%80%9C%E9%9C%80%E8%A6%81%E7%AD%BE%E5%90%8D%E2%80%9D%EF%BC%8CLDAP%20%E4%BB%8D%E4%BC%9A%E5%BC%95%E5%8F%91%E4%BA%8B%E4%BB%B6%20ID%202887%20%E8%AD%A6%E5%91%8A.png)
我正在运行 AD LDS 目录,自从配置它以来,我一直看到2887 警告消息,所以我决定关注本指南让服务器需要 LDAP 签名。
问题是,即使启用了“需要签名”,我也会收到那些烦人的警告,无论是服务器还是客户端。这是警告消息的内容:
在过去 24 小时内,某些客户端尝试执行以下 LDAP 绑定:(1) 未请求签名(完整性验证)的 SASL(协商、Kerberos、NTLM 或摘要)LDAP 绑定,或 (2) 在明文(非 SSL/TLS 加密)连接上执行的 LDAP 简单绑定
此目录服务器当前未配置为拒绝此类绑定。通过配置服务器以拒绝此类绑定,可以显著增强此目录服务器的安全性。有关如何对服务器进行此配置更改的更多详细信息和信息,请参阅http://go.microsoft.com/fwlink/?LinkID=87923。
现在,即使一切都设置正确,除了忽略这些警告之外,我还应该做些什么来停止接收这些警告?
答案1
对于 LDS,GPO 可能不起作用,因为它针对的是域控制器,而不是轻量级目录服务 (LDS/ADAM)。
请在您的其中一台 LDS 服务器上尝试以下注册表项:
HKLM\SYSTEM\CurrentControlSet\Services\LDSInstanceName\Parameters\LDAPServerIntegrity = DWORD (0x2)
HKLM\SYSTEM\CurrentControlSet\Services\ldap\Parameters\ldapclientintegrity = DWORD (0x2)
如果一切按预期进行(您可能需要重新启动 LDS 实例),您可以创建一个具有这些注册表项的 GPO在他们中。
如果你想知道未经签名的客户端连接来自哪里,你可以尝试通过设置注册表项来启用 LDAP 接口诊断日志记录HKLM\SYSTEM\CurrentControlSet\services\ALDSInstanceName\Diagnostics\16 LDAP Interface Events = DWORD (0x1)
,或最多 0x5