• Startseite
• Integrationen
• Konfigurieren von LDAPS unter Windows Server

Schritt-für-Schritt-Anleitung zum Einrichten von LDAPS auf Windows Server

---

Stellen Sie eine Verbindung mit LDAPS her, indem Sie die Richtlinien von miniOrange befolgen, um LDAP über SSL einzurichten und eine sichere Verbindung mit dem LDAP-Server herzustellen. Sichern Sie Ihre LDAP-Serververbindung zwischen Client- und Serveranwendung, um die Kommunikation zu verschlüsseln. Bei einer einfachen Bind-Verbindung wird die Verwendung von SSL/TLS empfohlen, um die Authentifizierung zu sichern, da die einfache Bind-Verbindung die Benutzeranmeldeinformationen im Klartext offenlegt.

1. Zertifikatsstelle installieren, Zertifikat erstellen und exportieren

1.1: Installieren Sie die Rolle „Active Directory-Zertifikatdienste“ über die Server-Manager-Rollen.

• Klicken Sie auf Ihrem Windows Server-Computer auf Start -> Server Manager -> Rollen und Features hinzufügen.



• Nach der Auswahl Rollen und Funktionen hinzufügen und klicken Sie auf Next.



• Wählen Rollenbasierte oder funktionsbasierte Installation Option und klicken Sie auf Next .



• Wählen Wählen Sie einen Server aus dem Serverpool aus Option & Wählen Sie LDAP-Server aus dem Serverpool und klicken Sie auf Next .



• Wählen Active Directory Certificate Services aus der Rollenliste und klicken Sie auf Next .



• Wählen Sie nichts aus der Liste der Funktionen aus und klicken Sie auf Next .



• Wählen Sie in Active Directory-Zertifikatdienste (AD CS) nichts aus und klicken Sie auf Next .



• Mark Zertifizierungsstelle aus der Liste der Rollen und Klicken Sie auf Next .



• Klicken Sie auf Installieren Schaltfläche, um die Installation zu bestätigen.



• Klicken Sie nun auf Konfigurieren der Active Directory-Zertifikatdienste auf dem Zielserver Option und klicken Sie auf Menu .



• Wir können den aktuell angemeldeten Benutzer verwenden, um Rollendienste zu konfigurieren, da er zur lokalen Administratorgruppe gehört. Klicken Sie auf Next .



• Mark Zertifizierungsstelle aus der Liste der Rollen und Klicken Sie auf Next .



• Wählen Unternehmenszertifizierungsstelle Option und klicken Sie auf Next.



• Wählen Stammzertifizierungsstelle Option und klicken Sie auf Next .



• Wählen Einen neuen privaten Schlüssel erstellen Option und klicken Sie auf Next .



• Wählen SHA256 als Hash-Algorithmus und Klicken Sie auf Next.
  AKTUALISIEREN : Es wird empfohlen, den aktuellsten Hashing-Algorithmus auszuwählen.



• Klicken Sie auf Next .



• Geben Sie die Gültigkeit des Zertifikats an, indem Sie Standardmäßig 5 Jahre wählen und auf klicken Next .



• Wählen Sie den Standardspeicherort der Datenbank und klicken Sie auf Next.



• Klicken Sie auf Einrichtung Taste zur Bestätigung.



• Sobald die Konfiguration erfolgreich war, klicken Sie auf Menu .

1.2: Zertifikatvorlage erstellen

• Gehe zu Windows-Taste+R und Renn certtmpl.msc und wählen Sie den Kerberos-Authentifizierung Vorlage.



• Klicken Sie mit der rechten Maustaste auf Kerberos-Authentifizierung und dann auswählen Duplizierte Vorlage.



• Der Eigenschaften der neuen Vorlage wird angezeigt. Konfigurieren Sie die Einstellung entsprechend Ihren Anforderungen.
• Gehen Sie zum Allgemein und aktivieren Sie Zertifikat im Active Directory veröffentlichen .



• Gehen Sie zum Registerkarte „Anforderungsbearbeitung“ und Aktivieren „Export des privaten Schlüssels zulassen“ .



• Gehen Sie zum Subjekt Name und aktivieren Sie das Betreffnamenformat als DNS-Name und klicken Sie auf die Schaltfläche „Übernehmen und OK“.

1.3: Zertifikatsvorlage ausstellen

• Gehe zu Start -> Zertifizierungsstelle Rechtsklick auf „Zertifikatsvorlagen“ und wählen Sie Neu->Auszustellende Zertifikatsvorlage.



• Wählen Sie nun Ihre kürzlich erstellte Zertifikatsvorlage aus und klicken Sie auf die Schaltfläche „OK“.

1.4: Neues Zertifikat für erstellte Zertifikatvorlage anfordern

• Gehe zu Windows-Taste+R -> mmc -> Datei -> Snap-In hinzufügen/entfernen. Wählen Zertifikate, Und klicken Sie auf Speichern und klicken Sie auf Ok Taste .



• Tag auswählen Computerkonto Option und klicken Sie auf Next .



• Tag auswählen Lokaler Computer Option und klicken Sie auf Farbe .



• Klicken Sie nun mit der rechten Maustaste auf Zertifikate wählen Alle Aufgaben und klicken Sie auf Anforderung eines neuen Zertifikats.



• Klicken Sie auf die Schaltfläche Weiter.



• Klicken Sie auf die Schaltfläche Weiter.



• Wählen Sie Ihr Zertifikat aus und klicken Sie auf Einschreiben .



• Klicken Sie auf Farbe .

1.5: Exportieren des erstellten Zertifikats

• Klicken Sie mit der rechten Maustaste auf das zuletzt erstellte Zertifikat und wählen Sie Alle Aufgaben -> Exportieren.



• Klicken Sie auf Next .



• Tag auswählen Den privaten Schlüssel nicht exportieren Option und klicken Sie auf Next .



• Wählen Base-64-kodiertes X.509 Dateiformat und klicken Sie auf Next.



• Exportieren Sie die .CER-Datei in Ihren lokalen Systempfad und klicken Sie auf Next.



• Klicken Sie auf Farbe Schaltfläche, um den Zertifikatsexport abzuschließen.

2. Konfigurieren Sie LDAPS auf dem Client-Server

2.1: Zertifikatsformat konvertieren und Zertifikat mit OpenSSL installieren

• Um das Zertifikat vom .cer- in das .pem-Format zu konvertieren, können Sie OpenSSL verwenden.

• Für Windows:

• Sie können diese Software hier beziehen: http://gnuwin32.sourceforge.net/packages/openssl.htm wenn du es noch nicht hast.
• Kopieren Sie die im vorherigen Schritt erstellte Zertifikatsdatei auf den Computer, auf dem PHP ausgeführt wird. Führen Sie den folgenden Befehl aus:
  Beispielsweise:
  C:\openssl\openssl x509 -in mOrangeLDAPS.cer -out mOrangeLDAPS.pem
  Dadurch wird die Zertifikatsdatei in einem Format erstellt, das die OpenLDAP-Clientbibliothek verwenden kann.
• Platzieren Sie die generierte PEM-Datei in einem Verzeichnis Ihrer Wahl (C:\openldap\sysconf ist möglicherweise eine gute Wahl, da dieses Verzeichnis bereits existiert).
• Fügen Sie Ihrer ldap.conf-Datei die folgende Zeile hinzu:
  TLS_CACERT C:\openldap\sysconf\mOrangeLDAPS.pem
• Diese Anweisung informiert die OpenLDAP-Clientbibliothek über den Speicherort des Zertifikats, sodass es bei der ersten Verbindung abgerufen werden kann.

• Für Linux:

• Führen Sie den folgenden Befehl aus, um Openssl zu installieren.
• Für Ubuntu:
sudo apt-get install openssl


• Für RHEL/CentOS:
yum install openssl


• Kopieren Sie die im vorherigen Schritt erstellte Zertifikatsdatei auf den Computer, auf dem PHP ausgeführt wird. Führen Sie den folgenden Befehl aus:
  Beispielsweise:
  /openssl x509 -in mOrangeLDAPS.cer -out mOrangeLDAPS.pem
  Dadurch wird die Zertifikatsdatei in einem Format erstellt, das die OpenLDAP-Clientbibliothek verwenden kann.
• Platzieren Sie die generierte PEM-Datei in einem Verzeichnis Ihrer Wahl (/etc/openldap/ ist möglicherweise eine gute Wahl, da dieses Verzeichnis bereits vorhanden ist).
• Fügen Sie Ihrer ldap.conf-Datei die folgende Zeile hinzu:
  TLS_CACERT /etc/openldap/mOrangeLDAPS.pem
• Diese Anweisung informiert die OpenLDAP-Clientbibliothek über den Speicherort des Zertifikats, sodass es bei der ersten Verbindung abgerufen werden kann.

2.2: Zertifikat im JAVA Keystore installieren.

• Führen Sie den folgenden Befehl aus, um das Zertifikat in cacerts zu installieren.

• Für Windows:

keytool -importcert -alias "mOrangeLDAPS"
-keystore "C:\Program Files\Java\jre1.8.0_231\lib\security\cacerts"
-file "C:\Users\Administrator\Documents\mOrangeLDAPS.cer"

• Für Linux:

keytool -importcert -alias "mOrangeLDAPS"
-keystore "/usr/java/jdk1.8.0_144/jre/lib/security/cacerts"
-file "/home/mOrangeLDAPS.cer"


• Starten Sie Ihren Webserver neu.

3. Testen Sie die Verbindung

• Für Linux:

ldapsearch -ZZ -h ad_host.example.com -D some_user@EXAMPLE.COM -W -b OU=users,DC=EXAMPLE,DC=COM dn
• ZZ: TLS starten (für LDAPS)
• h: IP/Hostname des Active Directory-Servers
• D: BindDN oder Benutzerprinzipalname
• W: Passwort (wird interaktiv eingegeben)
• b: Basis-DN für die Suche (wo im LDAP-Baum mit der Suche begonnen werden soll)

• Für Windows:
  

  [Erforderliche Rolle: Administrator]

• Stellen Sie sicher, dass die Windows-Supporttools auf dem Domänencontroller (DC) installiert sind.
• Das Support Tools Setup (suptools.msi) finden Sie im \Unterstützung\Tools Verzeichnis auf Ihrer Windows Server-CD.
• Tag auswählen Start >> Alle Programme >> Windows-Supporttools >> EingabeaufforderungGeben Sie in der Befehlszeile ein IDP , um das Werkzeug zu starten.
• Von dem IDP Fenster, wählen Sie Verbindung >> Verbinden und geben Sie den lokalen FQDN und die Portnummer (636) an. Wählen Sie außerdem die SSL.


• Bei erfolgreicher Verbindung werden in einem Fenster Informationen zur Active Directory-SSL-Verbindung angezeigt und aufgelistet. Wenn die Verbindung nicht erfolgreich ist, starten Sie Ihr System neu und wiederholen Sie diesen Vorgang.

Weitere Referenzen

• Was ist Directory as a Service?
• Wie verwende ich Active Directory, um mich bei verschiedenen Anwendungen anzumelden?
• Testen Sie jetzt miniOrange SSO, MFA kostenlos!
• Informieren Sie sich über Directory as a Service (DaaS).