J'ai juste trébuché sur mes propres pieds, on dirait.
En jouant sur un serveur Windows 2008 R2 (configuré comme contrôleur de domaine), j'ai été intrigué par un certain événement d'avertissement (événement id 2886) qui dit :
"Pour renforcer la sécurité des serveurs d'annuaire, vous pouvez configurer à la fois les services de domaine Active Directory (AD DS) et les services d'annuaire léger Active Directory (AD LDS) pour exiger des liaisons signées Lightweight Directory Access Protocol (LDAP)."
J'ai donc fait un peu de recherche sur Google et j'ai défini les stratégies pertinentes qui appliquent la signature LDAP. Je ne me souviens plus, mais j'ai peut-être utilisé la stratégie locale.
J'ai maintenant installé une boîte pfsense qui doit authentifier les utilisateurs AD via LDAP. Bien que le pare-feu puisse communiquer par un canal sécurisé, il est difficile de gérer la même chose pour d'autres paquets tels que Squid et SquidGuard. Je dois donc maintenant désactiver, c'est-à-dire annuler, ces changements de politique.
Le problème est qu'ils sont grisés !
Les politiques en question sont la signature du serveur LDAP et la signature du client LDAP. Je ne me souviens pas de ce que j'ai fait, mais lorsque j'accède à ces stratégies à partir de l'éditeur de stratégie locale sur le serveur, elles sont définies sur "Require Signing" et sont grisées. Les mêmes stratégies peuvent toujours être définies via l'option Contrôleur de domaine par défaut dans l'éditeur de stratégie de groupe.
Alors comment puis-je réinitialiser ces politiques grisées ?
感謝
Mise à jour :
J'ai édité le registre :
Localisez puis cliquez sur la sous-clé de registre suivante : HKEY_LOCAL_MACHINE \SYSTEM\CurrentControlSet\Services\NTDS\Parameters
Cliquez avec le bouton droit de la souris sur l'entrée de registre LDAPServerIntegrity, puis cliquez sur Modifier. Remplacez la valeur par 1 (elle était de 2), puis cliquez sur OK.
Le "contrôleur de domaine : LDAP server signing requirements" dans la politique locale est maintenant réglé sur "none". Auparavant, la valeur était "Require Signing". Cependant, elle est toujours grisée. Pourquoi c'est grisé... je ne comprends pas.
Le boîtier pfsense peut maintenant authentifier les utilisateurs via LDAP... mais après un redémarrage du système, la politique a été réinitialisée à "Require Signing".
Ainsi, le problème de .... persiste.
