Penandatanganan LDAP^{(LDAP signing)} adalah metode otentikasi di Windows Server yang dapat meningkatkan keamanan server direktori. Setelah diaktifkan, itu akan menolak permintaan apa pun yang tidak meminta penandatanganan atau jika permintaan menggunakan non-SSL/TLS-encrypted. Dalam posting ini, kami akan membagikan bagaimana Anda dapat mengaktifkan penandatanganan LDAP di ^(LDAP)Windows Server dan mesin klien. LDAP adalah singkatan dari   Lightweight Directory Access Protocol (LDAP).

Cara mengaktifkan penandatanganan LDAP di komputer Windows

Untuk memastikan penyerang tidak menggunakan klien LDAP palsu untuk mengubah konfigurasi dan data server, penting untuk mengaktifkan penandatanganan LDAP . Sama pentingnya untuk mengaktifkannya di mesin klien.

1. Setel^(Set) persyaratan penandatanganan LDAP server
2. Tetapkan^(Set) persyaratan penandatanganan LDAP klien dengan menggunakan kebijakan komputer lokal^(Local)
3. Tetapkan^(Set) persyaratan penandatanganan LDAP klien dengan menggunakan Objek Kebijakan Grup Domain^{(Domain Group Policy Object)}
4. Setel persyaratan penandatanganan ^(Set)LDAP klien dengan menggunakan kunci Registri^(Registry)
5. Cara memverifikasi perubahan konfigurasi
6. Cara menemukan klien yang tidak menggunakan opsi " Memerlukan^(Require) penandatanganan"

Bagian terakhir membantu Anda mengetahui klien yang tidak mengaktifkan Require Signing^{(do not have Require signing enabled)} di komputer. Ini adalah alat yang berguna bagi admin TI untuk mengisolasi komputer tersebut, dan mengaktifkan pengaturan keamanan di komputer.

1] Setel^(Set) persyaratan penandatanganan LDAP server

1. Buka Konsol Manajemen Microsoft^{(Microsoft Management Console)} (mmc.exe)
2. Pilih File >  Tambah^(Add) /Hapus Snap-in > pilih  Editor Objek Kebijakan Grup^{(Group Policy Object Editor)} , lalu pilih  Tambah^(Add) .
3. Ini akan membuka Wisaya Kebijakan Grup^{(Group Policy Wizard)} . Klik^(Click) tombol Browse , dan pilih  Default Domain Policy daripada Local Computer
4. Klik^(Click) tombol OK, lalu tombol Finish , dan tutup.
5. Pilih  Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies , lalu pilih Opsi Keamanan.
6. Klik kanan  Pengontrol domain: Persyaratan penandatanganan server LDAP^{(Domain controller: LDAP server signing requirements)} , lalu pilih Properti.
7. Di   kotak dialog  Properti^(Properties) pengontrol domain : Persyaratan penandatanganan server LDAP , aktifkan ^(LDAP)Tetapkan^(Define) pengaturan kebijakan ini, pilih  Perlu masuk dalam daftar tentukan pengaturan kebijakan ini,^{(Require signing in the Define this policy setting list,)} lalu pilih OK.
8. Periksa kembali pengaturan dan terapkan.

2] Tetapkan persyaratan penandatanganan ^(Set)LDAP klien dengan menggunakan kebijakan komputer lokal

1. Buka Run prompt, dan ketik gpedit.msc, dan tekan tombol Enter .
2. Di editor kebijakan grup, navigasikan ke Local Computer Policy > Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies , lalu pilih  Opsi Keamanan.^{(Security Options.)}
3. Klik kanan Keamanan jaringan: Persyaratan penandatanganan klien LDAP^{(Network security: LDAP client signing requirements)} , lalu pilih Properti.
4. Dalam  Keamanan jaringan^(Network) :  kotak dialog  Properti^(Properties) persyaratan penandatanganan klien LDAP , pilih ^(LDAP)Perlu masuk^{(Require signing)} dalam daftar, lalu pilih OK.
5. Konfirmasikan perubahan dan terapkan.

3] Tetapkan persyaratan penandatanganan ^(Set)LDAP klien dengan menggunakan Objek Kebijakan Grup^{(Group Policy Object)} domain

1. Buka Konsol Manajemen Microsoft (mmc.exe)^{(Open Microsoft Management Console (mmc.exe))}
2. Pilih  File  >  Add/Remove Snap-in >  pilih  Editor Objek Kebijakan Grup^{(Group Policy Object Editor)} , lalu pilih  Tambah^(Add) .
3. Ini akan membuka Wisaya Kebijakan Grup^{(Group Policy Wizard)} . Klik^(Click) tombol Browse , dan pilih  Default Domain Policy daripada Local Computer
4. Klik^(Click) tombol OK, lalu tombol Finish , dan tutup.
5. Pilih  Kebijakan Domain Default^{(Default Domain Policy)}  >  Konfigurasi Komputer^{(Computer Configuration)}  >  Pengaturan Windows^{(Windows Settings)}  >  Pengaturan Keamanan^{(Security Settings)}  >  Kebijakan Lokal^{(Local Policies)} , lalu pilih  Opsi Keamanan^{(Security Options)} .
6. Dalam  Keamanan jaringan: Persyaratan penandatanganan klien LDAP ^{(Network security: LDAP client signing requirements Properties )} kotak dialog Properti, pilih  Perlu masuk ^{(Require signing )} dalam daftar, lalu pilih  OK .
7. Konfirmasikan^(Confirm) perubahan dan terapkan pengaturan.

4] Setel persyaratan penandatanganan ^(Set)LDAP klien dengan menggunakan kunci registri

Hal pertama dan terpenting yang harus dilakukan adalah membuat cadangan registri Anda

• Buka Editor Registri
• Arahkan ke HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ <InstanceName> \Parameters
• Klik kanan^{(Right-click)} pada panel kanan, dan buat DWORD baru dengan nama LDAPServerIntegrity
• Biarkan ke nilai defaultnya.

<InstanceName >: Nama instans AD LDS yang ingin Anda ubah.

5] Cara^(How) memverifikasi apakah perubahan konfigurasi sekarang memerlukan masuk

Untuk memastikan kebijakan keamanan berfungsi di sini adalah cara memeriksa integritasnya.

1. Masuk ke komputer yang telah menginstal Alat Admin AD DS .^{(AD DS Admin Tools)}
2. Buka Run prompt, dan ketik ldp.exe, dan tekan tombol Enter . Ini adalah UI yang digunakan untuk menavigasi melalui namespace Direktori Aktif^{(Active Directory)}
3. Pilih Sambungan > Sambungkan.
4. Di  Server  and  Port , ketik nama server dan port non-SSL/TLS dari server direktori Anda, lalu pilih OK.
5. Setelah sambungan dibuat, pilih Sambungan > Ikat.
6. Di bawah  Jenis^(Bind) ikatan , pilih  Ikatan sederhana .^(Simple)
7. Ketik nama pengguna dan kata sandi, lalu pilih OK.

Jika Anda menerima pesan kesalahan yang mengatakan  Ldap_simple_bind_s() failed: Strong Authentication Required , maka Anda telah berhasil mengonfigurasi server direktori Anda.

6] Bagaimana^(How) menemukan klien yang tidak menggunakan opsi " Memerlukan^(Require) penandatanganan"

Setiap kali mesin klien terhubung ke server menggunakan protokol koneksi tidak aman, itu menghasilkan ID Peristiwa 2889^{(Event ID 2889)} . Entri log juga akan berisi alamat IP klien. Anda harus mengaktifkan ini dengan menyetel  pengaturan diagnostik  16  Peristiwa Antarmuka LDAP ke ^{(LDAP Interface Events)}2 (Dasar). ^{(2 (Basic). )}Pelajari cara mengonfigurasi log peristiwa diagnostik AD dan LDS di sini di Microsoft^{(here at Microsoft)} .

Penandatanganan LDAP^{(LDAP Signing)} sangat penting, dan saya harap ini dapat membantu Anda memahami dengan jelas bagaimana Anda dapat mengaktifkan penandatanganan LDAP di ^(LDAP)Windows Server , dan pada mesin klien.

How to enable LDAP signing in Windows Server & Client Machines

LDAP signing is an authentication method in Windows Server that can improve the security of a directory server. Once enabled, it will reject any request that doesn’t ask for signing or if the request is using non-SSL/TLS-encrypted. In this post, we will share how you can enable LDAP signing in Windows Server and client machines. LDAP stands for  Lightweight Directory Access Protocol (LDAP).

How to enable LDAP signing in Windows computers

To make sure that the attacker doesn’t use a forged LDAP client to change server configuration and data, it is essential to enabling LDAP signing.  It is equally important to enable it on the client machines.

1. Set the server LDAP signing requirement
2. Set the client LDAP signing requirement by using Local computer policy
3. Set the client LDAP signing requirement by using the Domain Group Policy Object
4. Set the client LDAP signing requirement by using Registry keys
5. How to verify configuration changes
6. How to find clients that do not use the “Require signing” option

The last section helps you to figure out clients that do not have Require signing enabled on the computer. It is a useful tool for IT admins to isolate those computers, and enable the security settings on the computers.

1] Set the server LDAP signing requirement

1. Open Microsoft Management Console (mmc.exe)
2. Select File > Add/Remove Snap-in > select Group Policy Object Editor, and then select Add.
3. It will open the Group Policy Wizard. Click on the Browse button, and select Default Domain Policy instead of Local Computer
4. Click on the OK button, and then on the Finish button, and close it.
5. Select Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies, and then select Security Options.
6. Right-click Domain controller: LDAP server signing requirements, and then select Properties.
7. In the Domain controller: LDAP server signing requirements Properties dialog box, enable Define this policy setting, select Require signing in the Define this policy setting list, and then select OK.
8. Recheck the settings and apply them.

2] Set the client LDAP signing requirement by using local computer policy

1. Open Run prompt, and type gpedit.msc, and press the Enter key.
2. In the group policy editor, navigate to Local Computer Policy > Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies, and then select Security Options.
3. Right-click on Network security: LDAP client signing requirements, and then select Properties.
4. In the Network security: LDAP client signing requirements Properties dialog box, select Require signing in the list and then choose OK.
5. Confirm changes and apply them.

3] Set the client LDAP signing requirement by using a domain Group Policy Object

1. Open Microsoft Management Console (mmc.exe)
2. Select File > Add/Remove Snap-in > select Group Policy Object Editor, and then select Add.
3. It will open the Group Policy Wizard. Click on the Browse button, and select Default Domain Policy instead of Local Computer
4. Click on the OK button, and then on the Finish button, and close it.
5. Select Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies, and then select Security Options.
6. In the Network security: LDAP client signing requirements Properties dialog box, select Require signing in the list and then choose OK.
7. Confirm changes and apply the settings.

4] Set the client LDAP signing requirement by using registry keys

The first and foremost thing to do is take a backup of your registry

• Open Registry Editor
• Navigate to HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ <InstanceName> \Parameters
• Right-click on the right pane, and create a new DWORD with name LDAPServerIntegrity
• Leave it to its default value.

<InstanceName>: Name of the AD LDS instance that you want to change.

5] How to verify if configuration changes now require sign-in

To make sure the security policy is working here is how to check its integrity.

1. Sign in to a computer that has the AD DS Admin Tools installed.
2. Open Run prompt, and type ldp.exe, and press the Enter key. It is a UI used for navigating through the Active Directory namespace
3. Select Connection > Connect.
4. In Server and Port, type the server name and the non-SSL/TLS port of your directory server, and then select OK.
5. After a connection is established, select Connection > Bind.
6. Under Bind type, select Simple bind.
7. Type the user name and password, and then select OK.

If you receive an error message saying  Ldap_simple_bind_s() failed: Strong Authentication Required, then you have successfully configured your directory server.

6] How to find clients that do not use the “Require signing” option

Every time a client machine connects to the server using an insecure connection protocol, it generates Event ID 2889.  The log entry will also contain the IP addresses of the clients. You will need to enable this by setting the 16 LDAP Interface Events diagnostic setting to 2 (Basic). Learn how to configure AD and LDS diagnostic event logging here at Microsoft.

LDAP Signing is crucial, and I hope the was able to help you clearly understand how you can enable LDAP signing in Windows Server, and on the client machines.

Related posts

• Mengkonfigurasi Remote Access Client Account Lockout di Windows Server

• Nonaktifkan Saham Administratif dari Windows Server

• Iperius Backup: Freeware untuk mengotomatiskan cadangan di Windows 10

• Cara Mengompres Bloated Registry Hives di Windows Server

• Cara Enable & Configure DNS Aging & Scavenging di Windows Server

• Jendela Update Client gagal mendeteksi dengan error 0x8024001f

• Cara Membuat Publik VPN Server pada Windows 10

• Use Vssadmin command-line untuk mengelola VSS di Windows 10

• Cara mengotomatisasi Windows Server backup ke Amazon S3

• Cara Mengatur Server Proxy di Tablet Windows 8.1 atau Perangkat Hibrida

• Cara Mengaktifkan DNS Client Service Jika Greyed Out di Windows 10

• Reset Windows Update Client menggunakan PowerShell Script

• Di mana mengunduh Windows Server Insider Preview Builds?

• Mengakses Komputer Windows XP atau Windows Server 2003 dari Jarak Jauh

• Best Free FTP Client software untuk Windows 10 PC

• Windows Camera Frame Server service dihentikan secara tak terduga

• Cara Menginstal dan Melihat Alat Administrasi Server Jarak Jauh (RSAT) Di Windows 11

• Cara mengkonfigurasi Global Proxy Server Settings di Windows 10

• Fix Fallout 76 Disconnected dari Server

• Group Policy Client service gagal masuk di Windows 11/10