توقيع LDAP^{(LDAP signing)} هو طريقة مصادقة في Windows Server يمكنها تحسين أمان خادم الدليل. بمجرد التمكين ، سيرفض أي طلب لا يطلب التوقيع أو إذا كان الطلب يستخدم بدون تشفير SSL / TLS. في هذا المنشور ، سنشارك كيف يمكنك تمكين تسجيل LDAP في Windows Server وأجهزة العميل. يرمز   LDAP إلى بروتوكول الوصول إلى الدليل الخفيف^{(Lightweight Directory Access Protocol)} (LDAP).

كيفية تمكين تسجيل LDAP في أجهزة الكمبيوتر التي تعمل بنظام Windows^(Windows)

للتأكد من أن المهاجم لا يستخدم عميل LDAP مزيفًا^(LDAP) لتغيير تكوين الخادم والبيانات ، فمن الضروري تمكين توقيع LDAP . من المهم بنفس القدر تمكينه على أجهزة العميل.

1. قم بتعيين^(Set) متطلبات توقيع الخادم LDAP
2. قم بتعيين متطلبات توقيع ^(Set)LDAP للعميل باستخدام نهج الكمبيوتر المحلي^(Local)
3. قم بتعيين متطلبات توقيع ^(Set)LDAP للعميل باستخدام كائن نهج مجموعة المجال^{(Domain Group Policy Object)}
4. قم بتعيين^(Set) متطلبات توقيع العميل LDAP باستخدام مفاتيح التسجيل^(Registry)
5. كيفية التحقق من تغييرات التكوين
6. كيفية البحث عن العملاء الذين لا يستخدمون خيار " طلب^(Require) التوقيع"

يساعدك القسم الأخير في اكتشاف العملاء الذين لم يتم تمكين "طلب التوقيع"^{(do not have Require signing enabled)} على جهاز الكمبيوتر. إنها أداة مفيدة لمسؤولي تكنولوجيا المعلومات لعزل تلك الحواسيب ، وتمكين إعدادات الأمان على أجهزة الكمبيوتر.

1] اضبط^(Set) متطلبات توقيع الخادم LDAP

1. افتح Microsoft Management Console (mmc.exe)
2. حدد ملف>  إضافة^(Add) / إزالة أداة إضافية> حدد  محرر كائن نهج المجموعة^{(Group Policy Object Editor)} ، ثم حدد  إضافة^(Add) .
3. سيفتح معالج نهج المجموعة^{(Group Policy Wizard)} . انقر فوق^(Click) الزر " استعراض^(Browse) " وحدد  "نهج المجال الافتراضي"^{(Default Domain Policy)} بدلاً من "الكمبيوتر المحلي "
4. انقر فوق^(Click) الزر "موافق" ، ثم على الزر " إنهاء^(Finish) " ، وقم بإغلاقه.
5. حدد  Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies ، ثم حدد خيارات الأمان.
6. انقر بزر الماوس الأيمن فوق  وحدة التحكم بالمجال: متطلبات توقيع خادم LDAP^{(Domain controller: LDAP server signing requirements)} ، ثم حدد خصائص.
7. في   مربع الحوار  خصائص^(Properties) متطلبات توقيع خادم LDAP ، قم بتمكين تحديد ^(Define)إعداد^(Domain) هذا النهج ، وحدد  طلب التسجيل في قائمة إعداد هذا النهج ،^{(Require signing in the Define this policy setting list,)} ثم حدد موافق.
8. أعد فحص الإعدادات وقم بتطبيقها.

2] قم بتعيين^(Set) متطلبات توقيع العميل LDAP باستخدام نهج الكمبيوتر المحلي

1. افتح موجه التشغيل^(Run) ، واكتب gpedit.msc ، واضغط على مفتاح الإدخال .^(Enter)
2. في محرر نهج المجموعة ، انتقل إلى Local Computer Policy > Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies ، ثم حدد  خيارات الأمان.^{(Security Options.)}
3. انقر بزر الماوس الأيمن فوق أمان الشبكة: متطلبات توقيع عميل LDAP^{(Network security: LDAP client signing requirements)} ، ثم حدد خصائص.
4. في  أمان الشبكة^(Network) :  مربع الحوار  خصائص^(Properties) متطلبات توقيع عميل LDAP ، حدد ^(LDAP)طلب التسجيل^{(Require signing)} في القائمة ثم اختر موافق.
5. قم بتأكيد التغييرات وتطبيقها.

3] تعيين^(Set) متطلبات توقيع العميل LDAP باستخدام مجال نهج مجموعة كائن^{(Group Policy Object)}

1. افتح Microsoft Management Console (mmc.exe)^{(Open Microsoft Management Console (mmc.exe))}
2. حدد  ملف^(File)  >  Add/Remove Snap-in >  حدد  محرر كائن نهج المجموعة^{(Group Policy Object Editor)} ، ثم حدد  إضافة^(Add) .
3. سيفتح معالج نهج المجموعة^{(Group Policy Wizard)} . انقر فوق^(Click) الزر " استعراض^(Browse) " وحدد  "نهج المجال الافتراضي"^{(Default Domain Policy)} بدلاً من "الكمبيوتر المحلي "
4. انقر فوق^(Click) الزر "موافق" ، ثم على الزر " إنهاء^(Finish) " ، وقم بإغلاقه.
5. حدد  نهج المجال الافتراضي^{(Default Domain Policy)}  >  تكوين الكمبيوتر^{(Computer Configuration)}  >  إعدادات Windows^{(Windows Settings)}  >  إعدادات الأمان^{(Security Settings)}  >  السياسات المحلية^{(Local Policies)} ، ثم حدد  خيارات الأمان^{(Security Options)} .
6. في  أمان الشبكة: مربع الحوار  خصائص متطلبات توقيع عميل LDAP  ، حدد ^{(Network security: LDAP client signing requirements Properties )}طلب التسجيل ^{(Require signing )} في القائمة ثم اختر  موافق^(OK) .
7. قم بتأكيد^(Confirm) التغييرات وتطبيق الإعدادات.

4] قم بتعيين^(Set) متطلبات توقيع العميل LDAP باستخدام مفاتيح التسجيل

أول شيء يجب فعله هو أخذ نسخة احتياطية من السجل الخاص بك

• افتح محرر التسجيل
• انتقل إلى HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ <InstanceName> \Parameters
• انقر بزر الماوس الأيمن^{(Right-click)} على الجزء الأيمن ، وأنشئ DWORD جديدًا باسم LDAPServerIntegrity
• اتركه لقيمته الافتراضية.

<InstanceName >: اسم مثيل AD LDS الذي تريد تغييره.

5] كيفية^(How) التحقق مما إذا كانت تغييرات التكوين تتطلب الآن تسجيل الدخول

للتأكد من أن سياسة الأمان تعمل هنا ، يجب عليك التحقق من سلامتها.

1. قم بتسجيل الدخول إلى جهاز كمبيوتر مثبت عليه AD DS Admin Tools .
2. افتح موجه التشغيل^(Run) ، واكتب ldp.exe ، واضغط على مفتاح Enter . إنها واجهة مستخدم تستخدم للتنقل عبر مساحة اسم Active Directory
3. حدد اتصال> اتصال.
4. في  الخادم^(Server)  والمنفذ  ، اكتب^(Port) اسم الخادم والمنفذ غير SSL / TLS لخادم الدليل الخاص بك ، ثم حدد موافق.
5. بعد إنشاء الاتصال ، حدد اتصال> ربط.
6. ضمن  نوع الربط^(Bind) ، حدد  ربط بسيط^(Simple) .
7. اكتب اسم المستخدم وكلمة المرور ، ثم حدد موافق.

إذا تلقيت رسالة خطأ تفيد  بأن Ldap_simple_bind_s () فشل: المصادقة القوية مطلوبة^{(Ldap_simple_bind_s() failed: Strong Authentication Required)} ، فهذا يعني أنك قمت بتكوين خادم الدليل بنجاح.

6] كيفية^(How) العثور على العملاء الذين لا يستخدمون خيار " طلب^(Require) التوقيع"

في كل مرة يتصل فيها جهاز العميل بالخادم باستخدام بروتوكول اتصال غير آمن ، فإنه ينشئ معرف الحدث 2889^{(Event ID 2889)} . سيحتوي إدخال السجل أيضًا على عناوين IP للعملاء. ستحتاج إلى تمكين هذا عن طريق تعيين الإعداد  التشخيصي  16  لأحداث واجهة LDAP على ^{(LDAP Interface Events)}2 (أساسي). ^{(2 (Basic). )}تعرف على كيفية تكوين تسجيل أحداث تشخيص AD و LDS هنا في Microsoft^{(here at Microsoft)} .

يعد توقيع LDAP^{(LDAP Signing)} أمرًا بالغ الأهمية ، وآمل أن يكون قادرًا على مساعدتك بوضوح في فهم كيفية تمكين تسجيل LDAP في Windows Server ، وعلى أجهزة العملاء.

How to enable LDAP signing in Windows Server & Client Machines

LDAP signing is an authentication method in Windows Server that can improve the security of a directory server. Once enabled, it will reject any request that doesn’t ask for signing or if the request is using non-SSL/TLS-encrypted. In this post, we will share how you can enable LDAP signing in Windows Server and client machines. LDAP stands for  Lightweight Directory Access Protocol (LDAP).

How to enable LDAP signing in Windows computers

To make sure that the attacker doesn’t use a forged LDAP client to change server configuration and data, it is essential to enabling LDAP signing.  It is equally important to enable it on the client machines.

1. Set the server LDAP signing requirement
2. Set the client LDAP signing requirement by using Local computer policy
3. Set the client LDAP signing requirement by using the Domain Group Policy Object
4. Set the client LDAP signing requirement by using Registry keys
5. How to verify configuration changes
6. How to find clients that do not use the “Require signing” option

The last section helps you to figure out clients that do not have Require signing enabled on the computer. It is a useful tool for IT admins to isolate those computers, and enable the security settings on the computers.

1] Set the server LDAP signing requirement

1. Open Microsoft Management Console (mmc.exe)
2. Select File > Add/Remove Snap-in > select Group Policy Object Editor, and then select Add.
3. It will open the Group Policy Wizard. Click on the Browse button, and select Default Domain Policy instead of Local Computer
4. Click on the OK button, and then on the Finish button, and close it.
5. Select Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies, and then select Security Options.
6. Right-click Domain controller: LDAP server signing requirements, and then select Properties.
7. In the Domain controller: LDAP server signing requirements Properties dialog box, enable Define this policy setting, select Require signing in the Define this policy setting list, and then select OK.
8. Recheck the settings and apply them.

2] Set the client LDAP signing requirement by using local computer policy

1. Open Run prompt, and type gpedit.msc, and press the Enter key.
2. In the group policy editor, navigate to Local Computer Policy > Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies, and then select Security Options.
3. Right-click on Network security: LDAP client signing requirements, and then select Properties.
4. In the Network security: LDAP client signing requirements Properties dialog box, select Require signing in the list and then choose OK.
5. Confirm changes and apply them.

3] Set the client LDAP signing requirement by using a domain Group Policy Object

1. Open Microsoft Management Console (mmc.exe)
2. Select File > Add/Remove Snap-in > select Group Policy Object Editor, and then select Add.
3. It will open the Group Policy Wizard. Click on the Browse button, and select Default Domain Policy instead of Local Computer
4. Click on the OK button, and then on the Finish button, and close it.
5. Select Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies, and then select Security Options.
6. In the Network security: LDAP client signing requirements Properties dialog box, select Require signing in the list and then choose OK.
7. Confirm changes and apply the settings.

4] Set the client LDAP signing requirement by using registry keys

The first and foremost thing to do is take a backup of your registry

• Open Registry Editor
• Navigate to HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ <InstanceName> \Parameters
• Right-click on the right pane, and create a new DWORD with name LDAPServerIntegrity
• Leave it to its default value.

<InstanceName>: Name of the AD LDS instance that you want to change.

5] How to verify if configuration changes now require sign-in

To make sure the security policy is working here is how to check its integrity.

1. Sign in to a computer that has the AD DS Admin Tools installed.
2. Open Run prompt, and type ldp.exe, and press the Enter key. It is a UI used for navigating through the Active Directory namespace
3. Select Connection > Connect.
4. In Server and Port, type the server name and the non-SSL/TLS port of your directory server, and then select OK.
5. After a connection is established, select Connection > Bind.
6. Under Bind type, select Simple bind.
7. Type the user name and password, and then select OK.

If you receive an error message saying  Ldap_simple_bind_s() failed: Strong Authentication Required, then you have successfully configured your directory server.

6] How to find clients that do not use the “Require signing” option

Every time a client machine connects to the server using an insecure connection protocol, it generates Event ID 2889.  The log entry will also contain the IP addresses of the clients. You will need to enable this by setting the 16 LDAP Interface Events diagnostic setting to 2 (Basic). Learn how to configure AD and LDS diagnostic event logging here at Microsoft.

LDAP Signing is crucial, and I hope the was able to help you clearly understand how you can enable LDAP signing in Windows Server, and on the client machines.

Related posts

• تكوين Remote Access Client Account Lockout في Windows Server

• تعطيل الأسهم الإدارية من Windows Server

• Iperius Backup: مجانية لأتمتة عمليات النسخ الاحتياطي في Windows 10

• كيفية ضغط Bloated Registry خلايا النحل في Windows Server

• كيفية Enable & Configure DNS Aging و Scavenging في Windows Server

• Fix Ca لا تصل إلى VPN Server error على PIA على Windows 11

• قد يكون Fix Your DNS Server خطأ غير متوفر

• Fix Windows Server Update Services Error Code 0x80072EE6

• لم يتم الوصول إلى Fix Site Ca، Server IP Could غير موجود

• Use Vssadmin command-line لإدارة VSS في Windows 10

• Reset Windows Update Client باستخدام PowerShell Script

• كيفية ترك Discord Server (2021)

• Install Remote Server Administration Tools (RSAT) على ويندوز 10

• Fix ARK Unable إلى Query Server Info ل Invite

• DHCP Client Service يعطي Access Denied error في Windows 11/10

• كيفية تعيين خادم وكيل على جهاز لوحي يعمل بنظام Windows 8.1 أو جهاز هجين

• فشل Windows Update Client للكشف مع error 0x8024001f

• Access FTP Server باستخدام Command Prompt في Windows 10

• كيفية إعداد خادم FTP في Windows باستخدام IIS

• فشل Group Policy Client service في تسجيل الدخول في Windows 11/10