Настройка LDAP over SSL (LDAPS) на контроллере домена под управлением Microsoft Active Directory

Установка центра сертификации, создание и экспорт сертификата

Ниже приведены инструкции для учетной записи с правами администратора домена.

Установка роли "Active Directory Certificate Services" через Server Manager.

  1. На компьютере с Windows Server выберите Start > Server Manager > Add Roles and Features:

    1 add roles and features

  2. На открывшейся форме Before you begin нажмите на кнопку Next:

    2 before you begin

  3. На открывшейся форме Select destination server выберите радио-кнопку Select a server from the server pool, выберите сервер ldap и нажмите на кнопку Next:

    3 select destination server

  4. На открывшейся форме Select server roles в списке ролей выберите опцию Active Directory Certificate Services и нажмите на кнопку Next:

    4 select server roles

  5. На открывшейся форме Select features нажмите на кнопку Next:

    5 select features

  6. На открывшейся форме Active Directory Certificate Services нажмите на кнопку Next:

    6 active directory certificate service

  7. На открывшейся форме Select role services в списке ролей выберите Certification Authority и нажмите на кнопку Next:

    7 select role services

  8. На открывшейся форме Installation progress выберите пункт Configure Active Directory Certificate Services on the destination server и нажмите на кнопку Close:

    8 installation progress

  9. На открывшейся форме Credentials нажмите на кнопку Next:

    Можно использовать текущего вошедшего в систему пользователя для настройки служб ролей, так как он принадлежит к локальной группе администраторов.
    9 credentials

  10. На открывшейся форме Role Services в списке ролей выберите Certification Authority и нажмите на кнопку Next:

    10 role services

  11. На открывшейся форме Setup Type выберите радио-кнопку Enterprise CA и нажмите на кнопку Next:

    11 setup type

  12. На открывшейся форме CA Type выберите радио-кнопку Root CA и нажмите на кнопку Next:

    12 ca type

  13. На открывшейся форме Private Key выберите радио-кнопку Create a new private key и нажмите на кнопку Next:

    13 private key

  14. На открывшейся форме Cryptography for CA из выпадающего списка Select the hash algorithm for signing certificates issued by this CA выберите в качестве алгоритма хеширования значение SHA256 и нажмите на кнопку Next:

    Рекомендуется выбирать самый последний алгоритм хеширования.
    14 cryptography for ca

  15. На открывшейся форме CA Name нажмите на кнопку Next:

    15 ca name

  16. На открывшейся форме Validity Period укажите срок действия сертификата, выбрав значение по умолчанию 5 years, и нажмите на кнопку Next:

    16 validity period

  17. На открывшейся форме CA Database выберите расположение базы данных по умолчанию и нажмите на кнопку Next:

    17 ca database

  18. На открывшейся форме Confirmation подтвердите свои действия, нажав кнопку Configure:

    18 confirmation

  19. На открывшейся форме Results убедитесь в успешной настройке и нажмите на кнопку Close:

    19 results

Создание шаблона сертификата

  1. Перейдите в Windows Key+R, запустите команду certtmpl.msc и выберите шаблон Kerberos Authentication:

    1 kerberos auth

  2. Щелкните правой кнопкой по Kerberos Authentication и из выпадающего списка выберите значение Duplicate Template:

    2 duplicate template

  3. В открывшейся форме Properties of New Template настройте параметры в соответствии с вашими требованиями.

  4. Перейдите на вкладку General и включите опцию Publish certificate in Active Directory:

    3 publish cert in ad

  5. Перейдите на вкладку Request Handling и включите опцию Allow private key to be exported:

    4 allow private key export

  6. Перейдите на вкладку Subject Name, включите формат имени субъекта как DNS Name и нажмите сначала кнопку Apply, а затем OK:

    5 dns name

Выпуск шаблона сертификата

  1. Выберите Start > Certification Authority.

  2. Щелкните правой кнопкой мыши по папке Certificate Templates и выберите New > Certificate Template to Issue:

    1 cert template to issue

  3. На открывшейся форме Enable Certificate Templates выберите созданный шаблон сертификата и нажмите на кнопку ОК:

    2 enable cert templates

Запрос нового сертификата для созданного шаблона сертификата

  1. Перейдите в Windows Key+R > mmc > File > Add/Remove snap-in — откроется форма Add or Remove Snap-ins.

  2. В поле Available snap-ins выберите Certificates, нажмите на кнопку Add и подтвердите свои действия, нажав кнопку ОК:

    1 certificates

  3. На открывшейся форме Certificates snap-in выберите радио-кнопку Computer account и нажмите кнопку Next:

    2 certificates snap in

  4. Щелкните правой кнопкой мыши по папке Certificates, выберите All Tasks > Request for new Certificate:

    3 request for new cert

  5. На открывшейся форме Before you begin нажмите на кнопку Next:

    4 cert enrollment

  6. На открывшейся форме Select Certificate Enrollment Policy нажмите на кнопку Next:

    5 select cert enrollment policy

  7. На открывшейся форме Request Certificates выберите сертификат и нажмите на кнопку Enroll:

    6 request certificates

  8. Завершите свои действия, нажав кнопку Finish:

    7 cert install results

Экспорт созданного сертификата

  1. Щелкните правой кнопкой мыши по созданному сертификату и выберите All tasks > Export:

    1 export

  2. На открывшейся форме приветствия нажмите на кнопку Next:

    2 cert export result

  3. На открывшейся форме Export Private Key выберите опцию Do not export the private key и нажмите на кнопку Next:

    3 export private key

  4. Выберите формат файла Base-64 encoded X.509 и нажмите Next:

    4 base 64 enoded

  5. Экспортируйте файл с сертификатом .CER в локальный путь и нажмите Next:

    5 file to export

  6. После того как сертификат будет успешно экспортирован, завершите ваши действия, нажав кнопку Finish:

    6 completing

Проверка работы LDAP over SSL

  1. Перейдите в Windows Key+R и выполните команду ldp.exe:

    1 ldap exe

  2. Выберите пункт меню Connection > Connect:

    2 connection

  3. На форме Connect:

    1. В поле Server укажите значение localhost.

    2. В поле Port укажите значение 636.

    3. Включите опцию SSL.

      3 connect

  4. Результатом корректной настройки LDAP over SSL будет успешное подключение и вывод подобный примеру:

    4 result