Cómo solicitar la firma LDAP en Windows Server

El Protocolo ligero de acceso a directorios (LDAP) es un protocolo de aplicación estándar de la industria utilizado por Windows Server Active Directory (AD) para mantener los servicios de directorio. Los dispositivos y aplicaciones cliente se autentican con AD mediante operaciones de "vinculación" LDAP. Los enlaces simples LDAP envían credenciales de usuario a través de la red en texto sin cifrar. Es decir. no hay cifrado del nombre de usuario y la contraseña. Si bien AD admite enlaces simples, no es un enfoque recomendado.

Las aplicaciones que utilizan enlaces simples LDAP deben actualizarse para utilizar en su lugar enlaces de capa de seguridad y autenticación simple (SASL), que admiten firma y sello (verificación/integridad y cifrado). Las aplicaciones que no se pueden actualizar pueden usar LDAP sobre TLS, a veces denominado LDAPS; pero es más complejo de implementar y mantener.

La buena noticia es que, de forma predeterminada, todas las versiones de Windows actualmente compatibles negocian conexiones LDAP firmadas de forma predeterminada. Sin embargo, Active Directory aceptará enlaces simples LDAP a menos que la firma LDAP esté configurada como "obligatoria". Si LDAP está configurado como "obligatorio" en un dominio, los enlaces simples de LDAP fallarán. Por lo tanto, si desea asegurarse de que no se utilicen enlaces simples LDAP, debe configurar AD para que requiera la firma LDAP. Como cualquier cambio de seguridad, antes de permitir que un dominio requiera la firma LDAP, debe realizar pruebas exhaustivas para asegurarse de que no tiene ninguna aplicación que dependa de enlaces simples LDAP.

Requerir inicio de sesión LDAP en Active Directory

La forma más sencilla de solicitar la firma LDAP en su dominio de Active Directory es utilizar la Política de grupo. La configuración Controlador de dominio: requisitos de firma del servidor LDAP para Requerir firma se puede encontrar en Configuración del equipo\Configuración de Windows\Configuración de seguridad\Políticas locales\Opciones de seguridad. Hay tres configuraciones posibles:

• Ninguno. No es necesario firmar para vincularse con el servidor. Si la computadora cliente solicita la firma de datos, el servidor la admite.
• Requerir firma. Se requiere la firma LDAP a menos que TLS/SSL esté configurado.
• No definido. (configuración predeterminada).

Para configurar la firma LDAP como obligatoria en su dominio, puede cambiar la configuración en la Política de dominio predeterminada o crear y vincular un nuevo Objeto de política de grupo (GPO) con la configuración requerida.

1. Inicie sesión en una PC unida a un dominio con una cuenta de usuario de dominio que tenga permiso para modificar la Política de grupo.
2. Escriba mmc.exe en el cuadro de búsqueda de la barra de tareas y presione ENTRAR para abrir una consola de administración.
3. En el menú Archivo, haga clic en Agregar o quitar complemento.
4. En el cuadro Agregar o quitar complementos, haga clic en Editor de objetos de política de grupo y haga clic en Agregar.
5. En el nuevo cuadro de diálogo, haga clic en Examinar y luego seleccione Política de dominio predeterminada. Si tiene otro GPO que desea editar, selecciónelo en su lugar.
6. Haga clic en Aceptar y luego haga clic en Finalizar.
7. Cierre los cuadros de diálogo abiertos restantes.
8. En GPMC, expanda el GPO de Política de dominio predeterminada y navegue hasta Configuración del equipo\Configuración de Windows\Configuración de seguridad\Políticas locales\Opciones de seguridad.
9. En el lado derecho de GPMC, desplácese hasta encontrar Controlador de dominio: requisitos de firma del servidor LDAP. Haz doble clic en él.



10. En el cuadro de diálogo Propiedades, configure el menú desplegable en Requerir firma y luego haga clic en Aceptar.
11. En el cuadro de diálogo Confirmar cambio de configuración, haga clic en Sí para confirmar que desea modificar la configuración de firma LDAP.
12. Si configura la firma LDAP en el dominio en "Requerir firma", también debe establecer la configuración de política Seguridad de red: requisitos de firma del cliente LDAP en Requerir firma para que los clientes de Windows se vean obligados a utilizar la firma LDAP.
13. Si creó su propio GPO, ahora vincúlelo a su dominio.
14. Una vez que haya configurado los ajustes requeridos, cierre GPMC.

¡Y eso es! No es necesario reiniciar los controladores de dominio ni los clientes. Active Directory ahora rechazará cualquier aplicación que utilice enlaces simples LDAP.