A assinatura LDAP^{(LDAP signing)} é um método de autenticação no Windows Server que pode melhorar a segurança de um servidor de diretório. Uma vez ativado, ele rejeitará qualquer solicitação que não solicite assinatura ou se a solicitação estiver usando criptografia não SSL/TLS. Nesta postagem, compartilharemos como você pode habilitar a assinatura LDAP no ^(LDAP)Windows Server e nas máquinas cliente. LDAP significa   Lightweight Directory Access Protocol (LDAP).

Como habilitar a assinatura LDAP em computadores Windows

Para garantir que o invasor não use um cliente LDAP forjado para alterar a configuração e os dados do servidor, é essencial habilitar a assinatura LDAP . É igualmente importante habilitá-lo nas máquinas clientes.

1. Definir^(Set) o requisito de assinatura LDAP do servidor
2. Definir o requisito de assinatura ^(Set)LDAP do cliente usando a política do computador local
3. Defina o requisito de assinatura ^(Set)LDAP do cliente usando o objeto de política de grupo de domínio^{(Domain Group Policy Object)}
4. Defina o requisito de assinatura ^(Set)LDAP do cliente usando as chaves do Registro^(Registry)
5. Como verificar as alterações de configuração
6. Como encontrar clientes que não usam a opção “ Exigir^(Require) assinatura”

A última seção ajuda você a descobrir clientes que não têm a opção Exigir assinatura habilitada^{(do not have Require signing enabled)} no computador. É uma ferramenta útil para os administradores de TI isolarem esses computadores e habilitarem as configurações de segurança nos computadores.

1] Defina^(Set) o requisito de assinatura LDAP do servidor

1. Abra o Microsoft Management Console^{(Microsoft Management Console)} (mmc.exe)
2. Selecione Arquivo >  Adicionar^(Add) /Remover Snap-in > selecione  Editor de Objeto de Diretiva de Grupo^{(Group Policy Object Editor)} e, em seguida, selecione  Adicionar^(Add) .
3. Ele abrirá o Assistente de Diretiva de Grupo^{(Group Policy Wizard)} . Clique^(Click) no botão Procurar^(Browse) e selecione  Política de Domínio Padrão^{(Default Domain Policy)} em vez de Computador Local
4. Clique^(Click) no botão OK, depois no botão Concluir^(Finish) e feche-o.
5. Selecione  Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies e, em seguida, selecione Opções de segurança.
6. Clique com o botão direito do mouse em  Controlador de domínio: requisitos de assinatura do servidor LDAP^{(Domain controller: LDAP server signing requirements)} e selecione Propriedades.
7. Na  caixa de diálogo Controlador de domínio : ^(Domain)Propriedades^(Properties) de requisitos de assinatura do servidor LDAP  , habilite  Definir^(Define) esta configuração de política, selecione  Exigir assinatura na lista Definir esta configuração de política^{(Require signing in the Define this policy setting list,)} e selecione OK.
8. Verifique novamente as configurações e aplique-as.

2] Defina o requisito de assinatura ^(Set)LDAP do cliente usando a política do computador local

1. Abra o prompt Executar^(Run) , digite gpedit.msc e pressione a tecla Enter .
2. No editor de política de grupo, navegue até Local Computer Policy > Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies e selecione  Opções de segurança.^{(Security Options.)}
3. Clique com o botão direito do mouse em Segurança de rede: requisitos^{(Network security: LDAP client signing requirements)} de assinatura do cliente LDAP e selecione Propriedades.
4. Na   caixa de diálogo  Segurança de rede : ^(Network)Propriedades^(Properties) de requisitos de assinatura do cliente LDAP , selecione ^(LDAP)Exigir assinatura^{(Require signing)} na lista e escolha OK.
5. Confirme as alterações e aplique-as.

3] Defina o requisito de assinatura ^(Set)LDAP do cliente usando um objeto de política de grupo de domínio^{(Group Policy Object)}

1. Abra o Microsoft Management Console (mmc.exe)^{(Open Microsoft Management Console (mmc.exe))}
2. Selecione  Arquivo^(File)  >  Add/Remove Snap-in >  selecione  Editor de Objeto de Diretiva de Grupo^{(Group Policy Object Editor)} e, em seguida, selecione  Adicionar^(Add) .
3. Ele abrirá o Assistente de Diretiva de Grupo^{(Group Policy Wizard)} . Clique^(Click) no botão Procurar^(Browse) e selecione  Política de Domínio Padrão^{(Default Domain Policy)} em vez de Computador Local
4. Clique^(Click) no botão OK, depois no botão Concluir^(Finish) e feche-o.
5. Selecione  Diretiva de domínio padrão^{(Default Domain Policy)}  >  Configuração do computador^{(Computer Configuration)}  >  Configurações do Windows^{(Windows Settings)}  >  Configurações de segurança^{(Security Settings)}  >  Diretivas locais^{(Local Policies)} e selecione  Opções de segurança^{(Security Options)} .
6. Na  caixa de diálogo  Segurança de rede: Propriedades de requisitos de assinatura do cliente LDAP  , selecione ^{(Network security: LDAP client signing requirements Properties )}Exigir assinatura ^{(Require signing )} na lista e escolha  OK .
7. Confirme^(Confirm) as alterações e aplique as configurações.

4] Defina o requisito de assinatura ^(Set)LDAP do cliente usando chaves de registro

A primeira e mais importante coisa a fazer é fazer um backup do seu registro

• Abra o Editor do Registro
• Navegue até HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ <InstanceName> \Parameters
• Clique com o botão direito do mouse^{(Right-click)} no painel direito e crie um novo DWORD com o nome LDAPServerIntegrity
• Deixe-o com seu valor padrão.

<InstanceName >: nome da instância do AD LDS que você deseja alterar.

5] Como^(How) verificar se as alterações de configuração agora exigem login

Para certificar-se de que a política de segurança está funcionando aqui é como verificar sua integridade.

1. Entre em um computador que tenha as ferramentas de administração do AD DS^{(AD DS Admin Tools)} instaladas.
2. Abra o prompt Executar^(Run) , digite ldp.exe e pressione a tecla Enter . É uma interface do usuário usada para navegar pelo namespace do Active Directory
3. Selecione Conexão > Conectar.
4. Em  Servidor^(Server)  e  Porta^(Port) , digite o nome do servidor e a porta não SSL/TLS do seu servidor de diretório e selecione OK.
5. Depois que uma conexão for estabelecida, selecione Conexão > Vincular.
6. Em  tipo de vinculação^(Bind) , selecione  vinculação simples^(Simple) .
7. Digite o nome de usuário e a senha e selecione OK.

Se você receber uma mensagem de erro dizendo que  Ldap_simple_bind_s() failed: Strong Authentication Required , então você configurou com sucesso seu servidor de diretório.

6] Como^(How) encontrar clientes que não usam a opção “ Exigir^(Require) assinatura”

Sempre que um computador cliente se conecta ao servidor usando um protocolo de conexão inseguro, ele gera a ID de evento 2889^{(Event ID 2889)} . A entrada de log também conterá os endereços IP dos clientes. Você precisará habilitar isso definindo a configuração de  diagnóstico  16  eventos de interface LDAP como ^{(LDAP Interface Events)}2 (básico). ^{(2 (Basic). )}Saiba como configurar o log de eventos de diagnóstico do AD e LDS aqui no Microsoft^{(here at Microsoft)} .

A assinatura LDAP^{(LDAP Signing)} é crucial e espero que tenha ajudado você a entender claramente como você pode habilitar a assinatura LDAP no ^(LDAP)Windows Server e nas máquinas cliente.

How to enable LDAP signing in Windows Server & Client Machines

LDAP signing is an authentication method in Windows Server that can improve the security of a directory server. Once enabled, it will reject any request that doesn’t ask for signing or if the request is using non-SSL/TLS-encrypted. In this post, we will share how you can enable LDAP signing in Windows Server and client machines. LDAP stands for  Lightweight Directory Access Protocol (LDAP).

How to enable LDAP signing in Windows computers

To make sure that the attacker doesn’t use a forged LDAP client to change server configuration and data, it is essential to enabling LDAP signing.  It is equally important to enable it on the client machines.

1. Set the server LDAP signing requirement
2. Set the client LDAP signing requirement by using Local computer policy
3. Set the client LDAP signing requirement by using the Domain Group Policy Object
4. Set the client LDAP signing requirement by using Registry keys
5. How to verify configuration changes
6. How to find clients that do not use the “Require signing” option

The last section helps you to figure out clients that do not have Require signing enabled on the computer. It is a useful tool for IT admins to isolate those computers, and enable the security settings on the computers.

1] Set the server LDAP signing requirement

1. Open Microsoft Management Console (mmc.exe)
2. Select File > Add/Remove Snap-in > select Group Policy Object Editor, and then select Add.
3. It will open the Group Policy Wizard. Click on the Browse button, and select Default Domain Policy instead of Local Computer
4. Click on the OK button, and then on the Finish button, and close it.
5. Select Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies, and then select Security Options.
6. Right-click Domain controller: LDAP server signing requirements, and then select Properties.
7. In the Domain controller: LDAP server signing requirements Properties dialog box, enable Define this policy setting, select Require signing in the Define this policy setting list, and then select OK.
8. Recheck the settings and apply them.

2] Set the client LDAP signing requirement by using local computer policy

1. Open Run prompt, and type gpedit.msc, and press the Enter key.
2. In the group policy editor, navigate to Local Computer Policy > Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies, and then select Security Options.
3. Right-click on Network security: LDAP client signing requirements, and then select Properties.
4. In the Network security: LDAP client signing requirements Properties dialog box, select Require signing in the list and then choose OK.
5. Confirm changes and apply them.

3] Set the client LDAP signing requirement by using a domain Group Policy Object

1. Open Microsoft Management Console (mmc.exe)
2. Select File > Add/Remove Snap-in > select Group Policy Object Editor, and then select Add.
3. It will open the Group Policy Wizard. Click on the Browse button, and select Default Domain Policy instead of Local Computer
4. Click on the OK button, and then on the Finish button, and close it.
5. Select Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies, and then select Security Options.
6. In the Network security: LDAP client signing requirements Properties dialog box, select Require signing in the list and then choose OK.
7. Confirm changes and apply the settings.

4] Set the client LDAP signing requirement by using registry keys

The first and foremost thing to do is take a backup of your registry

• Open Registry Editor
• Navigate to HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ <InstanceName> \Parameters
• Right-click on the right pane, and create a new DWORD with name LDAPServerIntegrity
• Leave it to its default value.

<InstanceName>: Name of the AD LDS instance that you want to change.

5] How to verify if configuration changes now require sign-in

To make sure the security policy is working here is how to check its integrity.

1. Sign in to a computer that has the AD DS Admin Tools installed.
2. Open Run prompt, and type ldp.exe, and press the Enter key. It is a UI used for navigating through the Active Directory namespace
3. Select Connection > Connect.
4. In Server and Port, type the server name and the non-SSL/TLS port of your directory server, and then select OK.
5. After a connection is established, select Connection > Bind.
6. Under Bind type, select Simple bind.
7. Type the user name and password, and then select OK.

If you receive an error message saying  Ldap_simple_bind_s() failed: Strong Authentication Required, then you have successfully configured your directory server.

6] How to find clients that do not use the “Require signing” option

Every time a client machine connects to the server using an insecure connection protocol, it generates Event ID 2889.  The log entry will also contain the IP addresses of the clients. You will need to enable this by setting the 16 LDAP Interface Events diagnostic setting to 2 (Basic). Learn how to configure AD and LDS diagnostic event logging here at Microsoft.

LDAP Signing is crucial, and I hope the was able to help you clearly understand how you can enable LDAP signing in Windows Server, and on the client machines.

Related posts

• Configure Remote Access Client Account Lockout em Windows Server

• Ações Administrativas Desativar Windows Server

• Iperius Backup: freeware para automatizar backups em Windows 10

• Como comprimir Bloated Registry colmeias em Windows Server

• Como para Enable & Configure DNS Aging & Scavenging em Windows Server

• Fix Site Ca n't ser alcançado, Server IP Could não foi encontrada

• Fix Fallout 76 Disconnected de Server

• Fix Omegle Error Connecting para Server (2021)

• Fix Your DNS Server pode ser erro indisponíveis

• Access FTP Server usando Command Prompt em Windows 10

• GitAtomic é um Git GUI Client para sistemas Windows

• Como adicionar ou alterar Time Server em Windows 10

• Como remover Roles and Features em Windows Server

• Fix Windows Server Update Services Error Code 0x80072EE6

• Use Vssadmin command-line para gerenciar VSS em Windows 10

• Fix Windows Store Error O Server tropeçou

• O Group Policy Client service falhou no logon em Windows 11/10

• Public DNS Server Tool é um livre DNS changer para Windows 10

• Fix Server não Found Error em Firefox

• Seu DNS Server pode não estar disponível em Windows 10