Início / server / Perguntas / 1166465
Accepted
shodanshok
Asked: 2024-10-11 13:04:14 +0800 CST

Controladores de domínio do Active Directory e certificado autoassinado

  • 772

Para habilitar o LDAPS, preciso de certificados em ambos os controladores de domínio. Não posso usar o Certificate Services, pois não tenho uma máquina Windows sobressalente e instalar essa função em um DC é um grande não-não, então prefiro usar um certificado autoassinado com SANs cobrindo ambos os DCs (FQDN e nomes curtos de máquina).

Algo que eu deva prestar atenção? Por exemplo:

  • o certificado deve ter uma duração máxima (ou seja: 1, 5, 10, 100 anos)?
  • isso pode interromper/afetar a conexão com a máquina cliente (improvável, pois o DC não tem certificado no momento);
  • EFS - não ter uma CA significa que os próprios clientes são responsáveis ​​por suas chaves. O que acontecerá com o certificado autoassinado?
active-directory

1 respostas

  1. Best Answer

    Para habilitar LDAPS, não há nada especial a se prestar atenção além das coisas usuais ao usar certificados SSL. Mais detalhes aqui:

    Habilitar LDAP sobre SSL com uma autoridade de certificação de terceiros

    Para responder aos seus exemplos:

    • a duração depende totalmente de você e de suas preferências.
    • não há tempo de inatividade ao habilitar o LDAPS primeiro instalando um certificado adequado, nem ao renová-lo.
    • os clientes só precisam confiar no certificado, melhor por meio de um certificado raiz, que aparece na cadeia do certificado do servidor

    Para testar se seu LDAPS está funcionando corretamente, você pode usar ldp.exe da coleção RSAT . Basta alterar a porta para 636 e marcar a caixa em "SSL" ao conectar.

    • 1

relate perguntas