域控制器 LDAP 服务器通道绑定令牌要求

适用于:

本文介绍域控制器的最佳做法、位置、值和安全注意事项 ：LDAP 服务器通道绑定令牌要求 安全策略设置。

此策略设置确定轻型目录访问协议 (LDAP) 服务器是否需要 LDAP 客户端协商通道绑定 (EPA) 。

未签名/未受保护的网络流量容易受到中间人攻击，其中入侵者捕获服务器和客户端设备之间的数据包，并在转发到客户端设备之前对其进行修改。 在 LDAP 服务器示例中，恶意用户可能导致客户端设备根据 LDAP 目录中的虚假记录做出决策。 可以通过实施强大的物理安全措施来保护网络基础结构来降低企业网络中的风险。 此外，实现 Internet 协议安全性 (IPsec) 身份验证标头模式（为 IP 流量提供相互身份验证和数据包完整性）可能会使所有类型的中间人攻击变得困难。

使用 SASL 身份验证方法对用户进行身份验证时，CBT 或 EPA 与 TLS 会话一起使用。 SASL 表示使用 NTLM 或 Kerberos 进行用户身份验证。 LDAP 简单绑定 over TLS 不提供通道绑定令牌保护，因此不建议这样做。

建议将 “域控制器：LDAP 服务器通道绑定令牌要求 ”设置为 “始终”。 不支持 LDAP 通道绑定的客户端将无法对域控制器执行 LDAP 查询。

计算机配置\Windows 设置\安全设置\本地策略\安全选项

下表列出了此策略的实际和有效的默认值。 默认值也会在策略的属性页上列出。

本部分介绍了可用于帮助管理此策略的功能和工具。

无。 当在本地保存或通过组策略分发对此策略进行的更改时，这些更改无需重启设备即可立即生效。

本部分介绍攻击者如何利用一项功能或其配置，如何实施对策，以及对策实施可能产生的负面后果。

未签名/未受保护的网络流量容易受到中间人攻击。 在此类攻击中，入侵者捕获服务器和客户端设备之间的数据包，对其进行修改，然后将其转发到客户端设备。 关于 LDAP 服务器，攻击者可能导致客户端设备根据 LDAP 目录中的虚假记录做出决策。 为了降低组织网络中此类入侵的风险，可以实施强大的物理安全措施来保护网络基础结构。 还可以实现 Internet 协议安全性 (IPsec) 身份验证标头模式，该模式对 IP 流量执行相互身份验证和数据包完整性，使所有类型的中间人攻击变得困难。

将 “域控制器：LDAP 服务器通道绑定令牌要求 ”设置配置为 “始终”。

不支持 LDAP 通道绑定的客户端设备无法对域控制器运行 LDAP 查询。