Droits de sécurité min pour effectuer des requêtes LDAP dans Active Directory

Question

Notre société tente d'implémenter quelques applications à authentification unique utilisant Active Directory (Windows Server 2003) et LDAP. Je souhaite verrouiller le compte utilisé pour effectuer ces requêtes LDAP autant que possible. Quelle est la meilleure pratique pour configurer ce type de compte?

Answer 1

Vous pouvez restreindre / autoriser ce qu'un utilisateur peut voir ou voir / interroger dans AD en utilisant facilement l'assistant de délégation. Vous pouvez accéder facilement à l'assistant de délégation en cliquant avec le bouton droit de la souris sur une unité d'organisation et en sélectionnant Contrôle de délégation. Vous voudrez peut-être jeter un coup d’œil sur ces articles:

Problèmes de sécurité par défaut dans la délégation Active Directory

Méthodes conseillées pour déléguer l'administration Active Directory: fonctionnement de la délégation dans Active Directory

Méthodes conseillées pour déléguer l'administration Active Directory: Etude de cas: un scénario de délégation

Answer 2

Veuillez consulter Comment configurer Active Directory pour autoriser les requêtes anonymes pour une sécurité minimale.

Par défaut, l’implémentation Microsoft LDAP ne prend pas en charge le protocole LDAP sécurisé. Pour configurer LDAP sécurisé à l'aide de SSL, des certificats doivent être installés à la fois sur le serveur LDAP et sur le (s) client (s) LDAP. Dans de nombreux cas, le serveur LDAP est le contrôleur de domaine exécutant Active Directory.

Les certificats requis pour exécuter LDAP sécurisé à l'aide de SSL peuvent être configurés de plusieurs manières. Le concept est toujours le même:

• le domaine Active Directory le contrôleur utilise un certificat spécial qui est émis par un fiable autorité de certification.
• L’ordinateur clent fait confiance au autorité de certification qui émet le certificat à l'Actif Contrôleur de domaine de répertoire.