Вопросы Теги

Включить роль центра сертификации AD, что может пойти не так?

Я собираюсь установить роль центра сертификации Active Directory на Windows Server 2012 R2, который уже является нашим сервером Active Directory.

Причина в том, что я хочу включить LDAPS после https://docs.moodle.org/310/en/Active_Directory#MS_Active_Directory_.2B_SSL

Итак, мне интересно, что может пойти не так?

  • Перестанет ли Active Directory принимать незашифрованные соединения?
  • Перестанут ли установленные сертификаты работать?
  • Будут ли другие серверы (например, контроллеры домена), которые нормально работают без шифрования, пытаться LDAPS и терпеть неудачу, потому что они не доверяют сертификату?
  • ] Смогу ли я больше войти в систему и исправить это, потому что VPN полагается на LDAP?
1
задан 2 February 2021 в 18:44
1 ответ

Установка полноценного центра сертификации для подписания единого сертификата для вашего контроллера домена кажется трудоемким и не очень выгодным. Если все, что вам нужно, это LDAPS на одном контроллере домена, ваше время может быть лучше потрачено просто на покупку стороннего сертификата (есть центры сертификации, которые также предлагают бесплатные сертификаты), при условии, что ваше доменное имя действительно принадлежит вам, а не что-то вроде corp.local . Вот пара документов, которые могут помочь:

Если вы не можете использовать общедоступный центр сертификации для по какой бы то ни было причине, я бы все равно выбрал что-то вроде New-SelfSignedCertificate вместо того, чтобы устанавливать ADCS для одного сертификата.

Чтобы ответить на ваши вопросы.

  • Нет, AD не перестанет принимать незашифрованные соединения после добавления сертификата. Зашифрованные службы TLS работают на разных портах.
  • Я не совсем понимаю, что вы имеете в виду под «установленными сертификатами». Но, как правило, нет, установка ADCS не влияет на существующие хранилища сертификатов, кроме добавления нового корневого сертификата CA как доверенного.
  • Другие серверы не смогут подключиться, если они были настроены на использование TLS и не были настроены на доверие корневому сертификату CA (если они также не были настроены на отключение проверки сертификата, что обычно является плохой идеей). (Это еще одно преимущество общедоступного сертификата, заключающееся в том, что ему уже будут доверять клиенты)
  • Ваш VPN вряд ли начнет использовать LDAPS для аутентификации, если вы не настроите его для этого. Но как только вы это сделаете, да. Проверка подлинности VPN будет зависеть от правильно работающего TLS.
2
ответ дан 24 April 2021 в 00:39

Теги

Похожие вопросы