La signature LDAP^{(LDAP signing)} est une méthode d'authentification dans Windows Server qui peut améliorer la sécurité d'un serveur d'annuaire. Une fois activé, il rejettera toute demande qui ne demande pas de signature ou si la demande utilise un chiffrement non SSL/TLS. Dans cet article, nous expliquerons comment vous pouvez activer la signature LDAP sur ^(LDAP)Windows Server et les machines clientes. LDAP signifie   Lightweight Directory Access Protocol (LDAP).

Comment activer la signature LDAP sur les ordinateurs Windows

Pour s'assurer que l'attaquant n'utilise pas un client LDAP falsifié pour modifier la configuration et les données du serveur, il est essentiel d'activer la signature LDAP . Il est également important de l'activer sur les machines clientes.

1. Définir^(Set) l' exigence de signature LDAP du serveur
2. Définir^(Set) l' exigence de signature LDAP du client à l'aide de la stratégie de l'ordinateur local
3. Définir^(Set) l' exigence de signature LDAP du client à l'aide de l' objet de stratégie de groupe de domaine^{(Domain Group Policy Object)}
4. Définir^(Set) l' exigence de signature LDAP du client à l'aide des clés de registre^(Registry)
5. Comment vérifier les changements de configuration
6. Comment trouver des clients qui n'utilisent pas l'option « Exiger^(Require) une signature »

La dernière section vous aide à identifier les clients pour lesquels Exiger la signature n'est pas activé^{(do not have Require signing enabled)} sur l'ordinateur. C'est un outil utile pour les administrateurs informatiques pour isoler ces ordinateurs et activer les paramètres de sécurité sur les ordinateurs.

1] Définir^(Set) l' exigence de signature LDAP du serveur

1. Ouvrez la console de gestion Microsoft^{(Microsoft Management Console)} (mmc.exe)
2. Sélectionnez Fichier >  Ajouter^(Add) /Supprimer un composant logiciel enfichable > sélectionnez  Éditeur d'objets de stratégie de groupe^{(Group Policy Object Editor)} , puis sélectionnez  Ajouter^(Add) .
3. Il ouvrira l' assistant de stratégie de groupe^{(Group Policy Wizard)} . Cliquez^(Click) sur le bouton  Parcourir et sélectionnez ^(Browse)Stratégie de domaine par défaut^{(Default Domain Policy)} au lieu de Ordinateur local
4. Cliquez^(Click) sur le bouton OK, puis sur le bouton Terminer^(Finish) et fermez-le.
5. Sélectionnez  Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies , puis sélectionnez Options de sécurité.
6. Cliquez avec le bouton droit sur  Contrôleur de domaine : exigences de signature du serveur LDAP^{(Domain controller: LDAP server signing requirements)} , puis sélectionnez Propriétés.
7. Dans la   boîte de dialogue  Propriétés^(Properties) du contrôleur de domaine^(Domain) : exigences de signature du serveur LDAP , activez ^(LDAP)Définir^(Define) ce paramètre de stratégie, sélectionnez  Exiger la signature dans la liste Définir ce paramètre de stratégie,^{(Require signing in the Define this policy setting list,)} puis sélectionnez OK.
8. Revérifiez les paramètres et appliquez-les.

2] Définir^(Set) l' exigence de signature LDAP du client en utilisant la politique de l'ordinateur local

1. Ouvrez l'invite Exécuter^(Run) , tapez gpedit.msc et appuyez sur la touche Entrée^(Enter) .
2. Dans l'éditeur de stratégie de groupe, accédez à Stratégie de Local Computer Policy > Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies , puis sélectionnez  Options de sécurité.^{(Security Options.)}
3. Cliquez avec le bouton droit sur Sécurité réseau : exigences de signature du client LDAP^{(Network security: LDAP client signing requirements)} , puis sélectionnez Propriétés.
4. Dans la   boîte de dialogue  Sécurité réseau : ^(Network)propriétés^(Properties) requises pour la signature du client LDAP , sélectionnez ^(LDAP)Exiger la signature^{(Require signing)} dans la liste, puis choisissez OK.
5. Confirmez les modifications et appliquez-les.

3] Définir^(Set) l' exigence de signature LDAP du client à l'aide d'un objet de stratégie de groupe de domaine^{(Group Policy Object)}

1. Ouvrez la console de gestion Microsoft (mmc.exe)^{(Open Microsoft Management Console (mmc.exe))}
2. Sélectionnez  Fichier^(File)  >  Add/Remove Snap-in >  sélectionnez  Éditeur d'objets de stratégie de groupe^{(Group Policy Object Editor)} , puis sélectionnez  Ajouter^(Add) .
3. Il ouvrira l' assistant de stratégie de groupe^{(Group Policy Wizard)} . Cliquez^(Click) sur le bouton  Parcourir et sélectionnez ^(Browse)Stratégie de domaine par défaut^{(Default Domain Policy)} au lieu de Ordinateur local
4. Cliquez^(Click) sur le bouton OK, puis sur le bouton Terminer^(Finish) et fermez-le.
5. Sélectionnez  Stratégie de domaine par défaut^{(Default Domain Policy)}  >  Configuration ordinateur^{(Computer Configuration)}  >  Paramètres Windows^{(Windows Settings)}  >  Paramètres de sécurité^{(Security Settings)}  >  Stratégies locales^{(Local Policies)} , puis sélectionnez  Options de sécurité^{(Security Options)} .
6. Dans la  boîte de dialogue  Propriétés de Sécurité réseau : exigences de signature du client LDAP  , sélectionnez ^{(Network security: LDAP client signing requirements Properties )}Exiger la signature ^{(Require signing )} dans la liste, puis choisissez  OK .
7. Confirmez^(Confirm) les modifications et appliquez les paramètres.

4] Définissez^(Set) l' exigence de signature LDAP du client à l'aide des clés de registre

La première chose à faire est de faire une sauvegarde de votre base de registre

• Ouvrir l'Éditeur du Registre
• Accédez aux HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ <InstanceName> \Parameters
• Faites un clic^{(Right-click)} droit sur le volet de droite et créez un nouveau DWORD avec le nom LDAPServerIntegrity
• Laissez-le à sa valeur par défaut.

<InstanceName > : nom de l' instance AD ​​LDS que vous souhaitez modifier.

5] Comment^(How) vérifier si les changements de configuration nécessitent maintenant une connexion

Pour s'assurer que la politique de sécurité fonctionne, voici comment vérifier son intégrité.

1. Connectez-vous à un ordinateur sur lequel les outils d'administration AD DS^{(AD DS Admin Tools)} sont installés.
2. Ouvrez l'invite Exécuter^(Run) , tapez ldp.exe et appuyez sur la touche Entrée^(Enter) . Il s'agit d'une interface utilisateur utilisée pour naviguer dans l' espace de noms Active Directory
3. Sélectionnez Connexion > Connecter.
4. Dans  Serveur^(Server)  et  port , tapez le nom du serveur et le port non-SSL/TLS de votre serveur d'annuaire, puis sélectionnez OK.
5. Une fois la connexion établie, sélectionnez Connexion > Lier.
6. Sous  Type^(Bind) de liaison , sélectionnez  Liaison simple^(Simple) .
7. Tapez le nom d'utilisateur et le mot de passe, puis sélectionnez OK.

Si vous recevez un message d'erreur disant  Ldap_simple_bind_s() failed: Strong Authentication Required , alors vous avez configuré avec succès votre serveur d'annuaire.

6] Comment^(How) trouver les clients qui n'utilisent pas l'option " Exiger^(Require) la signature"

Chaque fois qu'un ordinateur client se connecte au serveur à l'aide d'un protocole de connexion non sécurisé, il génère l'ID d'événement 2889^{(Event ID 2889)} . L'entrée de journal contiendra également les adresses IP des clients. Vous devrez l'activer en définissant le  paramètre de diagnostic  16  LDAP Interface Events sur ^{(LDAP Interface Events)}2 (Basic). Découvrez comment configurer la journalisation des événements de diagnostic AD et LDS ici chez Microsoft^{(here at Microsoft)} .

La signature LDAP^{(LDAP Signing)} est cruciale et j'espère qu'elle a pu vous aider à comprendre clairement comment vous pouvez activer la signature LDAP dans ^(LDAP)Windows Server et sur les machines clientes.

How to enable LDAP signing in Windows Server & Client Machines

LDAP signing is an authentication method in Windows Server that can improve the security of a directory server. Once enabled, it will reject any request that doesn’t ask for signing or if the request is using non-SSL/TLS-encrypted. In this post, we will share how you can enable LDAP signing in Windows Server and client machines. LDAP stands for  Lightweight Directory Access Protocol (LDAP).

How to enable LDAP signing in Windows computers

To make sure that the attacker doesn’t use a forged LDAP client to change server configuration and data, it is essential to enabling LDAP signing.  It is equally important to enable it on the client machines.

1. Set the server LDAP signing requirement
2. Set the client LDAP signing requirement by using Local computer policy
3. Set the client LDAP signing requirement by using the Domain Group Policy Object
4. Set the client LDAP signing requirement by using Registry keys
5. How to verify configuration changes
6. How to find clients that do not use the “Require signing” option

The last section helps you to figure out clients that do not have Require signing enabled on the computer. It is a useful tool for IT admins to isolate those computers, and enable the security settings on the computers.

1] Set the server LDAP signing requirement

1. Open Microsoft Management Console (mmc.exe)
2. Select File > Add/Remove Snap-in > select Group Policy Object Editor, and then select Add.
3. It will open the Group Policy Wizard. Click on the Browse button, and select Default Domain Policy instead of Local Computer
4. Click on the OK button, and then on the Finish button, and close it.
5. Select Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies, and then select Security Options.
6. Right-click Domain controller: LDAP server signing requirements, and then select Properties.
7. In the Domain controller: LDAP server signing requirements Properties dialog box, enable Define this policy setting, select Require signing in the Define this policy setting list, and then select OK.
8. Recheck the settings and apply them.

2] Set the client LDAP signing requirement by using local computer policy

1. Open Run prompt, and type gpedit.msc, and press the Enter key.
2. In the group policy editor, navigate to Local Computer Policy > Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies, and then select Security Options.
3. Right-click on Network security: LDAP client signing requirements, and then select Properties.
4. In the Network security: LDAP client signing requirements Properties dialog box, select Require signing in the list and then choose OK.
5. Confirm changes and apply them.

3] Set the client LDAP signing requirement by using a domain Group Policy Object

1. Open Microsoft Management Console (mmc.exe)
2. Select File > Add/Remove Snap-in > select Group Policy Object Editor, and then select Add.
3. It will open the Group Policy Wizard. Click on the Browse button, and select Default Domain Policy instead of Local Computer
4. Click on the OK button, and then on the Finish button, and close it.
5. Select Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies, and then select Security Options.
6. In the Network security: LDAP client signing requirements Properties dialog box, select Require signing in the list and then choose OK.
7. Confirm changes and apply the settings.

4] Set the client LDAP signing requirement by using registry keys

The first and foremost thing to do is take a backup of your registry

• Open Registry Editor
• Navigate to HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ <InstanceName> \Parameters
• Right-click on the right pane, and create a new DWORD with name LDAPServerIntegrity
• Leave it to its default value.

<InstanceName>: Name of the AD LDS instance that you want to change.

5] How to verify if configuration changes now require sign-in

To make sure the security policy is working here is how to check its integrity.

1. Sign in to a computer that has the AD DS Admin Tools installed.
2. Open Run prompt, and type ldp.exe, and press the Enter key. It is a UI used for navigating through the Active Directory namespace
3. Select Connection > Connect.
4. In Server and Port, type the server name and the non-SSL/TLS port of your directory server, and then select OK.
5. After a connection is established, select Connection > Bind.
6. Under Bind type, select Simple bind.
7. Type the user name and password, and then select OK.

If you receive an error message saying  Ldap_simple_bind_s() failed: Strong Authentication Required, then you have successfully configured your directory server.

6] How to find clients that do not use the “Require signing” option

Every time a client machine connects to the server using an insecure connection protocol, it generates Event ID 2889.  The log entry will also contain the IP addresses of the clients. You will need to enable this by setting the 16 LDAP Interface Events diagnostic setting to 2 (Basic). Learn how to configure AD and LDS diagnostic event logging here at Microsoft.

LDAP Signing is crucial, and I hope the was able to help you clearly understand how you can enable LDAP signing in Windows Server, and on the client machines.

Related posts

• Configurer Remote Access Client Account Lockout dans Windows Server

• Désactiver les actions administratives de Windows Server

• Iperius Backup: Freeware pour automatiser des sauvegardes dans Windows 10

• Comment compresser Bloated Registry Hives en Windows Server

• Comment Enable & Configure DNS Aging & Scavenging à Windows Server

• Best Free FTP Client software pour Windows 10 PC

• Votre DNS Server pourrait être indisponible dans Windows 10

• Fix Windows Store Error Le Server a trébuché

• Fix Windows Server Update Services Error Code 0x80072EE6

• Comment configurer Global Proxy Server Settings dans Windows 10

• Comment supprimer Roles and Features dans Windows Server

• Windows Update Client n'a pas réussi à détecter avec error 0x8024001f

• Où télécharger Windows Server Insider Preview Builds?

• Le Windows Camera Frame Server service s'est terminé de manière inattendue

• Public DNS Server Tool est un DNS changer gratuit pour Windows 10

• Comment changer de serveur DNS sur Windows 11

• Install Remote Server Administration Tools (RSAT) sur Windows 10

• Fix Omegle Error Connecting à Server (2021)

• Comment configurer un serveur FTP sous Windows à l'aide d'IIS

• Qu'est-ce que le serveur DLNA et comment l'activer sur Windows 10 ?