Activer le rôle d'autorité de certification AD, qu'est-ce qui peut mal tourner ?

L'installation d'une autorité de certification à part entière afin de signer un certificat unique pour votre contrôleur de domaine semble représenter beaucoup d'efforts pour un gain limité. Si vous n'avez besoin que de LDAPS sur un seul contrôleur de domaine, vous feriez mieux de vous contenter d'acheter un certificat tiers (il existe des autorités de certification qui proposent également des certificats gratuits), en supposant que votre nom de domaine vous appartienne réellement et non pas quelque chose comme corp.local . Voici quelques documents qui peuvent vous aider :

• Exigences pour les certificats de contrôleur de domaine provenant d'une AC tierce partie
• Activez LDAP sur SSL avec une autorité de certification tierce.

Si, pour une raison quelconque, vous ne pouvez pas utiliser une autorité de certification publique, j'opterais quand même pour quelque chose comme Nouveau certificat auto-signé plutôt que d'installer ADCS pour un seul certificat.

Pour répondre à vos questions.

• Non, AD ne cessera pas d'accepter les connexions non cryptées après l'ajout d'un certificat. Les services chiffrés TLS fonctionnent sur des ports différents.
• Je ne suis pas sûr de ce que vous voulez dire exactement par "certificats établis". Mais en règle générale, l'installation d'ADCS ne modifie pas les magasins de certificats existants, si ce n'est pour ajouter le nouveau certificat de l'autorité de certification racine en tant que certificat de confiance.
• Les autres serveurs ne pourront pas se connecter s'ils ont été configurés pour utiliser TLS et s'ils n'ont pas été configurés pour faire confiance au certificat racine de l'autorité de certification (à moins qu'ils n'aient également été configurés pour désactiver la validation des certificats, ce qui est généralement une mauvaise idée). (C'est un autre avantage d'un certificat public, car il est déjà reconnu par les clients).
• Il est peu probable que votre VPN commence à utiliser LDAPS pour l'authentification, à moins que vous ne le configuriez en ce sens. Mais une fois que vous le faites, oui. L'authentification VPN dépendra du bon fonctionnement de TLS.