Utiliser LDAPS avec ADAM

  • Rversion finale: Washingtondc
  • Mis à jour 1 févr. 2024
  • 2 minutes de lecture

    • La configuration par défaut de l’authentification par objet userProxy consiste à appliquer des communications LDAPS (LDAP sécurisées). LDAPS nécessite des certificats SSL pour sécuriser le trafic réseau.

    Pour supprimer cette exigence, effectuez la modification suivante à l’aide de la console ADSIEdit connectée à la partition de configuration.
    Object: CN=Directory Service, CN=Windows NT, CN=Services, CN=Configuration
Attribute: msDS-Other-Setings
Value: change RequiresSecureProxyBind from 1 (enforced) to 0 (disabled)

    Redémarrez le service ADAM pour utiliser le nouveau paramètre.

    Pour prendre en charge les liaisons sécurisées et chiffrer les informations d’utilisateur et de mot de passe transmises, un certificat SSL doit être installé sur le serveur et sur tout client LDAP. Étant donné que les utilisations du service ADAM sont limitées et contrôlées, il est possible d’utiliser un certificat auto-signé qui répondrait aux besoins sans encourir de coûts de certificat ni construire d’infrastructure d’autorité de certification (CA). Si vous disposez déjà d’une autorité de certification, vous pouvez émettre un certificat. Sinon, créez un certificat autosigné.

    Création d’un certificat autosigné

    Pour utiliser l’utilitaire selfssl , Internet Information Services (IIS) doit être installé. Vous pouvez supprimer ce service après avoir généré le certificat. Vous pouvez obtenir l’utilitaire selfssl.exe à partir du kit de ressources IIS. Si IIS est déjà installé, créez un nouveau site Web afin que les sites actuels ne soient pas impactés lors de la génération de certificats. Selfssl doit joindre temporairement le nouveau certificat auto-émis à un site Web valide.

    Selfssl est un outil en ligne de commande et possède les paramètres communs suivants.

    Tableau 1. Descriptions des paramètres Selfssl
    Paramètre Description
    /T Ajoute le certificat aux « Certificats approuvés » sur l’ordinateur local
    /N :cn Définissez le nom courant du certificat. Celui-ci doit correspondre au nom de domaine complet du serveur exécutant le service Web à l’aide du certificat
    /K Définit la force de la taille de la clé en bits
    /C Nombre de jours de validité du certificat
    /s ID du site Web auquel joindre le certificat
    /P Port IP du service Web
    L’attribut de nom commun doit correspondre au nom ou à l’adresse externe que l’instance utilisera pour se connecter à votre ordinateur ADAM. Vous devez obtenir l’ID de site du site Web IIS, sauf si vous utilisez le site Web par défaut, qui est 1 et n’a pas besoin d’être défini dans la commande selfssl. Voici un exemple de commande pour générer un certificat pour myCompany :
    selfssl /N:CN=myCompany.externaldomain.com /K:1024 /V:3650 /S:12345 /P:50001 /T

    Cette instruction crée un certificat qui est valide pendant 10 ans. Définissez la valeur sur n’importe quelle durée, mais n’oubliez pas que le nouveau certificat doit être généré et soumis à l’instance avant l’expiration de l’ancien. Nous vous recommandons de noter la date d’expiration sur le certificat.

    Une fois le certificat généré, vous pouvez le supprimer du site Web ou supprimer l’ensemble du site Web si vous avez créé un site temporaire.