Active Directory에서 LDAP 쿼리를 미리 작성할 수있는 최소 보안 권한

Question

당사는 Active Directory (Windows Server 2003) 및 LDAP를 사용하여 몇 가지 Single Sign-On 응용 프로그램을 구현하려고합니다. 가능한 한 이러한 LDAP 쿼리를 만드는 데 사용되는 계정을 잠급니다. 이 유형의 계정을 구성하는 가장 좋은 방법은 무엇입니까?

Answer 1

위임 마법사를 사용하면 AD 내에서 사용자가 볼 수 있거나 볼 수있는 항목을 제한하거나 허용 할 수 있습니다. OU를 마우스 오른쪽 단추로 클릭하고 위임 컨트롤을 선택하여 위임 마법사에 쉽게 액세스 할 수 있습니다. 당신 루게릭 병은이 기사에서 살펴 봐야 할 수 있습니다 :

Default security concerns in Active Directory delegation

Best practices for delegating Active Directory administration: How delegation works in Active Directory

Best practices for delegating Active Directory administration: Case study: a delegation scenario

영업 이익은 분명히 "바인딩"을 설정하기 때문에

Answer 2

최소한의 보안을 위해 How to configure Active Directory to allow anonymous queries을 참조하십시오.

기본적으로 Microsoft LDAP 구현은 보안 LDAP를 지원하지 않습니다. SSL을 사용하여 보안 LDAP를 설정하려면 인증서가 LDAP 서버 및 LDAP 클라이언트 모두에 설치되어 있어야합니다. 대부분의 경우 LDAP 서버는 Active Directory를 실행하는 도메인 컨트롤러입니다.

SSL을 사용하여 보안 LDAP를 실행하는 데 필요한 인증서는 여러 가지 방법으로 구성 할 수 있습니다. 개념은 항상 동일합니다 :

• Active Directory 도메인 컨트롤러가 신뢰할 수있는 인증 기관에서 발급되는 특수 인증서 를 사용합니다.
• 클라이언트 컴퓨터 디렉터리 도메인 컨트롤러에 인증서를 발급하는 인증 기관을 트러스트합니다.