security - Active Directory で LDAP クエリを実行するための最小セキュリティ権限

Question

当社では、Active Directory (Windows Server 2003) と LDAP を使用して、いくつかのシングル サインオン アプリケーションを実装しようとしています。これらの LDAP クエリを作成するために使用されるアカウントを可能な限りロックダウンしたいと考えています。このタイプのアカウントを構成するためのベスト プラクティスは何ですか?

Answer 1

委任ウィザードを簡単に使用して、ユーザーがAD内で表示/クエリできるものを制限/許可できます。OUを右クリックし、[委任コントロール]を選択すると、委任ウィザードに簡単にアクセスできます。あなたはこれらの記事を見たいと思うかもしれません：

ActiveDirectory委任におけるデフォルトのセキュリティ上の懸念

Active Directory管理を委任するためのベストプラクティス：ActiveDirectoryでの委任のしくみ

Active Directory管理を委任するためのベストプラクティス：ケーススタディ：委任シナリオ

Answer 2

最小限のセキュリティのために匿名クエリを許可するように Active Directory を構成する方法を参照してください。

デフォルトでは、Microsoft LDAP 実装は Secure LDAP をサポートしていません。SSL を使用してセキュア LDAP をセットアップするには、LDAP サーバーと LDAP クライアントの両方に証明書をインストールする必要があります。多くの場合、LDAP サーバーは Active Directory を実行するドメイン コントローラです。

SSL を使用してセキュア LDAP を実行するために必要な証明書は、いくつかの方法で構成できます。コンセプトは常に同じです。

• Active Directory ドメイン コントローラーは、信頼された証明機関によって発行された特別な証明書を使用します。
• クライアント コンピューターは、証明書を Active Directory ドメイン コントローラーに発行する証明機関を信頼します。