LDAP署名^{(LDAP signing)}は、ディレクトリサーバーのセキュリティを向上させることができるWindowsServerの^{(Windows Server)}認証方法です。有効にすると、署名を要求しない要求、または要求が非SSL/TLS暗号化を使用している場合は拒否されます。この投稿では、 WindowsServerとクライアントマシンでLDAP署名を有効にする方法を共有します。^{(Windows Server)}LDAPは、^(LDAP)ライトウェイトディレクトリアクセスプロトコル^{(Lightweight Directory Access Protocol)}（LDAP）の略です  。

WindowsコンピューターでLDAP署名を有効にする方法

攻撃者が偽造されたLDAPクライアントを使用してサーバーの構成とデータを変更しないようにするには、 LDAP署名を有効にすることが不可欠です。クライアントマシンでそれを有効にすることも同様に重要です。

1. ^(Set)サーバーのLDAP署名要件を設定します
2. ^(Set)ローカル^(Local)コンピューターポリシーを使用して、クライアントのLDAP署名要件を設定します
3. ^(Set)ドメイングループポリシーオブジェクト^{(Domain Group Policy Object)}を使用して、クライアントのLDAP署名要件を設定します
4. ^(Set)レジストリ^(Registry)キーを使用して、クライアントのLDAP署名要件を設定します
5. 構成の変更を確認する方法
6. 「署名が必要^(Require)」オプションを使用しないクライアントを見つける方法

最後のセクションは、コンピューターで[署名が必要]が有効になっていない^{(do not have Require signing enabled)}クライアントを特定するのに役立ちます。これは、IT管理者がこれらのコンピューターを分離し、コンピューターのセキュリティ設定を有効にするための便利なツールです。

1]サーバーのLDAP署名要件を設定します^(Set)

1. Microsoft管理コンソール^{(Microsoft Management Console)}（mmc.exe）を開く
2. [ファイル]>[ スナップインの 追加と削除]を選択し、[^(Add)グループポリシーオブジェクトエディター]を選択して、[^{(Group Policy Object Editor)}追加]^(Add)を選択します 。
3. グループポリシーウィザード^{(Group Policy Wizard)}が開きます。[^(Click)参照^(Browse)]ボタンをクリックし、ローカルコンピューターの代わりに[デフォルトのドメインポリシー^{(Default Domain Policy)}]を選択します 
4. [^(Click) OK]ボタンをクリックしてから、 [完了^(Finish)]ボタンをクリックして閉じます。
5. [ Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policiesを選択し、[セキュリティオプション]を選択します。
6. [ドメインコントローラー：LDAPサーバーの署名要件^{(Domain controller: LDAP server signing requirements)}]を右クリック し、[プロパティ]を選択します。
7. [ ドメイン^(Domain)コントローラー：LDAPサーバーの署名要件のプロパティ^(Properties) ]ダイアログボックスで、[このポリシー設定の定義]を有効に し、[このポリシー設定の定義]リストで[署名が必要]を選択 し^(Define)て^{(Require signing in the Define this policy setting list,)}、[OK]を選択します。
8. 設定を再確認して適用してください。

2]ローカルコンピューターポリシーを使用して、クライアントのLDAP署名要件を設定します^(Set)

1. 実行^(Run)プロンプトを開き、gpedit.mscと入力して、Enterキー^(Enter)を押します。
2. グループポリシーエディターで、 Local Computer Policy > Computer Configuration > Policies > Windows Settings > Security Settings > Local Policiesセキュリティのオプション^{(Security Options.)}]を選択します 。
3. [ネットワークセキュリティ：LDAPクライアントの署名要件^{(Network security: LDAP client signing requirements)}]を右クリックし、[プロパティ]を選択します。
4. [ ネットワーク^(Network)セキュリティ：LDAPクライアントの署名要件のプロパティ^(Properties) ]ダイアログボックス で、リストから[署名が必要]を選択し、[OK]を選択します。^{(Require signing)}
5. 変更を確認して適用します。

3]ドメイングループポリシーオブジェクト^{(Group Policy Object)}を使用して、クライアントのLDAP署名要件を設定します^(Set)

1. Microsoft管理コンソール（mmc.exe）を開く^{(Open Microsoft Management Console (mmc.exe))}
2. [ファイル]^(File)  >  [Add/Remove Snap-in >選択 し、  [ グループポリシーオブジェクトエディター]を選択して、[^{(Group Policy Object Editor)}追加]^(Add)を選択します 。
3. グループポリシーウィザード^{(Group Policy Wizard)}が開きます。[^(Click)参照^(Browse)]ボタンをクリックし、ローカルコンピューターの代わりに[デフォルトのドメインポリシー^{(Default Domain Policy)}]を選択します 
4. [^(Click) OK]ボタンをクリックしてから、 [完了^(Finish)]ボタンをクリックして閉じます。
5. [ 既定のドメインポリシー^{(Default Domain Policy)}]  >[ コンピューターの構成^{(Computer Configuration)}]  >[  Windowsの設定]^{(Windows Settings)}  >[ セキュリティの設定]^{(Security Settings)}  >[ ローカルポリシー^{(Local Policies)}]を選択し、[ セキュリティオプション^{(Security Options)}]を選択します。
6. [ ネットワークセキュリティ：LDAPクライアントの署名要件のプロパティ ^{(Network security: LDAP client signing requirements Properties )}]ダイアログボックス で、リストから [署名が必要 ]を選択し、[ ^{(Require signing )}OK ]を選択します。
7. 変更を確認^(Confirm)し、設定を適用します。

4]レジストリキーを使用してクライアントのLDAP署名要件を設定します^(Set)

最初に行うことは、レジストリのバックアップを取ることです

• レジストリエディタを開く
• HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ <InstanceName> \Parametersに移動します
• ^{(Right-click)}右ペインを右クリックして、 LDAPServerIntegrityという名前の新しいDWORDを作成します^(DWORD)
• デフォルト値のままにします。

<InstanceName >：変更するADLDSインスタンスの名前。

5]構成の変更にサインインが必要かどうかを確認する方法^(How)

ここでセキュリティポリシーが機能していることを確認するには、その整合性を確認する方法があります。

1. ADDS管理ツール^{(AD DS Admin Tools)}がインストールされているコンピューターにサインインします。
2. 実行^(Run)プロンプトを開き、ldp.exeと入力して、Enterキー^(Enter)を押します。これは、 ActiveDirectory^{(Active Directory)}名前空間をナビゲートするために使用されるUIです。
3. [接続]>[接続]を選択します。
4. [サーバー^(Server) と ポート^(Port)]に 、サーバー名とディレクトリサーバーの非SSL / TLSポートを入力し、[OK]を選択します。
5. 接続が確立されたら、[接続]>[バインド]を選択します。
6. [バインド^(Bind)の種類]で 、[シンプル^(Simple)バインド]を選択します 。
7. ユーザー名とパスワードを入力し、[OK]を選択します。

Ldap_simple_bind_s（）が失敗し^{(Ldap_simple_bind_s() failed: Strong Authentication Required)}たというエラーメッセージが表示された場合  ：強力な認証が必要です。これで、ディレクトリサーバーは正常に構成されました。

6] 「署名が必要^(Require)」オプションを使用しないクライアントを見つける方法^(How)

クライアントマシンが安全でない接続プロトコルを使用してサーバーに接続するたびに、イベントID2889^{(Event ID 2889)}が生成されます。ログエントリには、クライアントのIPアドレスも含まれます。16  LDAPインターフェイスイベント^{(LDAP Interface Events)} 診断設定を 2（基本）^{(2 (Basic). )}に設定して、これを有効にする必要があります。ここMicrosoftでADおよび^{(here at Microsoft)}LDS診断イベントロギングを構成する方法を学びます。

LDAP署名^{(LDAP Signing)}は非常に重要であり、WindowsServerおよびクライアントマシンでLDAP署名を有効にする方法を明確に理解するのに役立つことを願っています。^{(Windows Server)}

How to enable LDAP signing in Windows Server & Client Machines

LDAP signing is an authentication method in Windows Server that can improve the security of a directory server. Once enabled, it will reject any request that doesn’t ask for signing or if the request is using non-SSL/TLS-encrypted. In this post, we will share how you can enable LDAP signing in Windows Server and client machines. LDAP stands for  Lightweight Directory Access Protocol (LDAP).

How to enable LDAP signing in Windows computers

To make sure that the attacker doesn’t use a forged LDAP client to change server configuration and data, it is essential to enabling LDAP signing.  It is equally important to enable it on the client machines.

1. Set the server LDAP signing requirement
2. Set the client LDAP signing requirement by using Local computer policy
3. Set the client LDAP signing requirement by using the Domain Group Policy Object
4. Set the client LDAP signing requirement by using Registry keys
5. How to verify configuration changes
6. How to find clients that do not use the “Require signing” option

The last section helps you to figure out clients that do not have Require signing enabled on the computer. It is a useful tool for IT admins to isolate those computers, and enable the security settings on the computers.

1] Set the server LDAP signing requirement

1. Open Microsoft Management Console (mmc.exe)
2. Select File > Add/Remove Snap-in > select Group Policy Object Editor, and then select Add.
3. It will open the Group Policy Wizard. Click on the Browse button, and select Default Domain Policy instead of Local Computer
4. Click on the OK button, and then on the Finish button, and close it.
5. Select Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies, and then select Security Options.
6. Right-click Domain controller: LDAP server signing requirements, and then select Properties.
7. In the Domain controller: LDAP server signing requirements Properties dialog box, enable Define this policy setting, select Require signing in the Define this policy setting list, and then select OK.
8. Recheck the settings and apply them.

2] Set the client LDAP signing requirement by using local computer policy

1. Open Run prompt, and type gpedit.msc, and press the Enter key.
2. In the group policy editor, navigate to Local Computer Policy > Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies, and then select Security Options.
3. Right-click on Network security: LDAP client signing requirements, and then select Properties.
4. In the Network security: LDAP client signing requirements Properties dialog box, select Require signing in the list and then choose OK.
5. Confirm changes and apply them.

3] Set the client LDAP signing requirement by using a domain Group Policy Object

1. Open Microsoft Management Console (mmc.exe)
2. Select File > Add/Remove Snap-in > select Group Policy Object Editor, and then select Add.
3. It will open the Group Policy Wizard. Click on the Browse button, and select Default Domain Policy instead of Local Computer
4. Click on the OK button, and then on the Finish button, and close it.
5. Select Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies, and then select Security Options.
6. In the Network security: LDAP client signing requirements Properties dialog box, select Require signing in the list and then choose OK.
7. Confirm changes and apply the settings.

4] Set the client LDAP signing requirement by using registry keys

The first and foremost thing to do is take a backup of your registry

• Open Registry Editor
• Navigate to HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ <InstanceName> \Parameters
• Right-click on the right pane, and create a new DWORD with name LDAPServerIntegrity
• Leave it to its default value.

<InstanceName>: Name of the AD LDS instance that you want to change.

5] How to verify if configuration changes now require sign-in

To make sure the security policy is working here is how to check its integrity.

1. Sign in to a computer that has the AD DS Admin Tools installed.
2. Open Run prompt, and type ldp.exe, and press the Enter key. It is a UI used for navigating through the Active Directory namespace
3. Select Connection > Connect.
4. In Server and Port, type the server name and the non-SSL/TLS port of your directory server, and then select OK.
5. After a connection is established, select Connection > Bind.
6. Under Bind type, select Simple bind.
7. Type the user name and password, and then select OK.

If you receive an error message saying  Ldap_simple_bind_s() failed: Strong Authentication Required, then you have successfully configured your directory server.

6] How to find clients that do not use the “Require signing” option

Every time a client machine connects to the server using an insecure connection protocol, it generates Event ID 2889.  The log entry will also contain the IP addresses of the clients. You will need to enable this by setting the 16 LDAP Interface Events diagnostic setting to 2 (Basic). Learn how to configure AD and LDS diagnostic event logging here at Microsoft.

LDAP Signing is crucial, and I hope the was able to help you clearly understand how you can enable LDAP signing in Windows Server, and on the client machines.

Related posts

• Windows ServerでRemote Access Client Account Lockoutを設定します

• Windows Serverから管理株式を無効にします

• Iperius Backup：Windows 10でバックアップを自動化するためのフリーウェア

• Windows ServerでBloated Registry hivesを圧縮する方法

• Windows ServerのEnable & Configure DNS Aging＆Scavengingの方法

• Internet Time ServerとSynchronize Windows 10 Clock

• Use Vssadmin command-line Use Vssadmin command-line VSSをWindows 10で管理する

• Fix Server FirefoxのFound Errorではありません

• あなたのDNS ServerはWindows 10で利用できないかもしれません

• Windows Camera Frame Server serviceは予期せずに終了しました

• RSAT DNS server DNS server DNS server

• InviteためQuery Server InfoにFix ARK Unable

• Fix Ca PIAでWindows 11のVPN Server errorに到達しない

• Windows 10のInstall Remote Server Administration Tools（RSAT）

• Fix Your DNS Serverは利用できないエラーかもしれません

• Fix Fallout 76 DisconnectedからServer

• Fix Windows Server Update Services Error Code 0x80072EE6

• Setup Filezilla Server and Client：Screenshot and Video tutorial

• Windows11でDNSサーバーを変更する方法

• Windows8.1タブレットまたはハイブリッドデバイスでプロキシサーバーを設定する方法