LDAP over SSL 是否需要客户端上的证书？答案

【问题标题】：Does LDAP over SSL require a cert on the client?LDAP over SSL 是否需要客户端上的证书？
【发布时间】：2015-01-24 21:10:04
【问题描述】：

我正在尝试解决一个问题，即尝试通过 LDAP 设置用户密码由于访问被拒绝错误而失败 - 即使我正在使用管理员用户对 AD 进行身份验证。

在 stackoverflow 中找到的答案说我必须以管理员用户身份运行 IIS 用户（这确实有效），或者我应该通过 SSL 连接到 LDAP。我不能选择第一个选项，因为我使用的是 Elastic Beanstalk，它将创建和终止实例，因此我无法更改/设置 IIS 将运行的用户。所以我正在尝试使用 LDAP over SSL 的想法。我的问题是这是否仍然需要客户端本身也安装证书才能与域控制器建立信任？或者这是否仅通过在域控制器上安装证书并允许通过 SSL 连接来工作？如果它需要客户端上的证书，那么我会遇到同样的问题，因为 Beanstalk 将随意重新创建和终止该实例。

那么 LDAPS 是否需要客户端上的证书？考虑到我使用的基础设施，有没有更好的方法来解决我的问题？

【问题讨论】：

没有。您可以提供各种形式的凭据：客户端证书只是其中之一，

标签： ldap ssl-certificate amazon-elb

【解决方案1】：

那么 LDAPS 是否需要客户端上的证书？

不，LDAPS 不需要客户端证书。域控制器证书足以使用 LDAPS。有关 LDAPS 和证书要求的更多详细信息：LDAP over SSL (LDAPS) Certificate

由于访问被拒绝错误，尝试通过 LDAP 设置用户密码失败

您收到此消息的原因可能超过 9000 个。您需要检查您是否在 DC 上成功通过身份验证，如果是，请检查您是否具有权限和特权（特别是如果启用了 UAC）。我会设置审核策略（针对失败的用户密码更改）并检查安全事件日志以找出问题所在。

【讨论】：

好的，谢谢你的澄清。我将尝试使证书正常工作。我正在使用自签名并遇到问题。然后会测试它。我很确定我得到的错误是由于上述原因，因为当我以域管理员用户身份运行 IIS 时，它工作正常
顺便说一句，即使在域控制器上使用自签名证书，您仍然不需要客户端证书吗？
如果你有内部CA，我建议使用CA来颁发LDAPS证书。是的，LDAPS 不使用客户端证书。
我在域控制器上安装了 CA 服务器，它自动安装了证书并启用了 LDAPS。验证使用 LDP 工作。然后我尝试从另一台服务器连接到 AD，但失败了。仅在我在客户端的受信任的发布者存储中安装证书后才起作用。所以我再次陷入困境。有什么方法可以配置不需要客户端证书的 LDAPS？

【解决方案2】：

没有。

对于 openldap，我通过将此行添加到 ldap.conf 来实现这一点。但请注意，当您这样做时，您的连接将容易受到中间人或任何其他攻击。

TLS_REQCERT never

【讨论】：

【解决方案3】：

这是我使用试错法发现的：实际上，LDAPS 服务器总是要求提供客户端证书。您可以通过打开 SCHANNEL 日志并观察以下消息来验证：

如果没有客户端身份验证证书，则 LDAPS 连接仍然成功，即确实需要客户端身份验证证书。但是，如果您有一些无效的客户端身份验证证书（在我的情况下，它是第三方应用程序很久以前安装的过期证书），则连接将失败，而客户端的 SCHANNEL 日志中没有任何错误或警告。我花了一段时间才弄清楚这一点。

【讨论】：

在这里欣赏问答。我担心必须为客户证书设置自动注册等。关键是，只有 DC 需要注册证书并信任根 CA，然后只要身份验证成功，就支持 LDAPS。

【解决方案4】：

是的，您的客户需要一个证书才能允许 ladps 之间的通信他和德服务器。

根据 windowsitpro.com:

作为一种选择，您可以使用 LDAPS 进行客户端身份验证，但这样做需要您还在每个客户端上安装客户端身份验证证书。”

【讨论】：

作为一个选项。它不是必需的。这是一个措辞不佳的句子。他想说的是，您可以将 AD 配置为请求客户端证书，这足以对客户端进行身份验证，而无需进一步的凭据。