#adlds

[techdirectarchive]

AD LDS and AD DS: Differences between Active Directory Lightweight Directory Services and Active Directory Domain Services

AD LDS and AD DS: Differences between Active Directory Lightweight Directory Services and Active Directory Domain Services

Active Directory Lightweight Directory Services (AD LDS) is designed more to run software rather than to run domains so it not a replacement for Active Directory Domain Services (AD DS). It can run on a computer that is in a workgroup, does not require DNS, and also can run on client operating systems like Windows workstations. For this reason, it is a good choice for application support and for…

View On WordPress

[pfeaca]

Zmiany w obsłudze komunikacji LDAP - część 2/5

W poprzednim wpisie z serii Zmiany w obsłudze komunikacji LDAP opisałem zmiany w rekomendacjach dotyczących zabezpieczenia komunikacji, jakie powinni zastosować administratorzy środowisk Active Directory Lightweight Directory Services (AD DS) oraz  Active Directory Lightweight Directory Services (AD LDS).

Dzisiaj zaprezentuję jak szybko i wsadowo (na wszystkich kontrolerach domeny w środowisku) odczytać informacje o konfiguracji protokołu LDAP w oparciu o rejestr systemowy. 

1 2 3 4 5 6 7 8 9 10 11 12

$DCs = Get-ADDomainController -Filter * ForEach ($DC in $DCs) { '*' * 40 $DC.HostName Invoke-Command -ComputerName $DC.HostName -ScriptBlock { $LdapEnforceChannelBinding=(Get-ItemProperty -Path Registry::HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters -Name "LdapEnforceChannelBinding" -ErrorAction SilentlyContinue | select "LdapEnforceChannelBinding" | fl | Out-String) -Replace "`n","" -replace "`r","" -replace " :",":";if (!$LdapEnforceChannelBinding) { "LdapEnforceChannelBinding: (Brak)" } else {$LdapEnforceChannelBinding} $LDAPServerIntegrity=(Get-ItemProperty -Path Registry::HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters -Name "LDAPServerIntegrity" -ErrorAction SilentlyContinue | select "LDAPServerIntegrity" | fl | Out-String) -Replace "`n","" -replace "`r","" -replace " :",":";if (!$LDAPServerIntegrity) { "LDAPServerIntegrity: (Brak)" } else {$LDAPServerIntegrity} $LDAPClientIntegrity=(Get-ItemProperty -Path Registry::HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters -Name "LDAPClientIntegrity" -ErrorAction SilentlyContinue | select "LDAPClientIntegrity" | fl | Out-String) -Replace "`n","" -replace "`r","" -replace " :",":";if (!$LDAPClientIntegrity) { "LDAPClientIntegrity: (Brak)" } else {$LDAPClientIntegrity} } }

Skrypt zwraca wartości ustawień kluczy LdapEnforceChannelBinding,  LDAPServerIntegrity oraz LDAPClientIntegrity z wszystkich kontrolerów domeny, z którymi udało się skomunikować. 

W następnej części pokażę, jak w praktyczny sposób sprawdzić czy w naszym środowisku występują połączenia, które po zmianach w konfiguracji protokołu LDAP będą skutkowały odmową dostępu do katalogu i odrzucaniem połączeń. 

[pfeaca]

Zmiany w obsłudze komunikacji LDAP - część 1/5

W opublikowanym 13 sierpnia 2019 roku biuletynie informacyjnym ADV190023[1], Microsoft wskazał najnowsze rekomendacje zabezpieczeń dla połączeń protokołu LDAP, które mają podnieść bezpieczeństwo komunikacji pomiędzy kontrolerami domeny Active Directory oraz klientami usługi. Obok rekomendacji zapowiedziana została również poprawka zabezpieczeń dla systemów Windows Server, której zastosowanie będzie skutkować zmianą domyślny ustawień na zgodne z wytycznymi.

Microsoft zaleca administratorom jak najszybsze wprowadzenie zmian podnoszących poziom zabezpieczeń opisanych w powyższym biuletynie manualnie, ponieważ podczas korzystania z ustawień domyślnych w systemie Windows istnieje luka zabezpieczeń dotycząca podnoszenia uprawnień, która może pozwolić na atak typu „man-in-the-middle”[2] i pomyślne przesłanie dalej żądania uwierzytelnienia do serwera LDAP systemu Windows (takiego jak system z uruchomioną usługą AD DS lub AD LDS), którego nie skonfigurowano do wymagania podpisywania lub pieczętowania połączeń przychodzących. 

Zabezpieczenia serwera katalogowego można znacznie poprawić, konfigurując serwer do odrzucenia powiązań LDAP w ramach mechanizmu Simple Authentication and Security Layer (SASL)[3], które nie żądają podpisywania (weryfikacji integralności) lub do odrzucania prostych powiązania LDAP[4] wykonywanych na połączeniach, w których dane są przesyłane w postaci zwykłego tekstu (bez szyfrowania SSL/TLS). Mechanizmy SASL mogą zawierać protokoły, takie jak Negotiate, Kerberos, NTLM czy Digest. Niepodpisany ruch sieciowy jest podatny na powtórne ataki[5], w których intruz przechwytuje próbę uwierzytelnienia i wystawienie biletu. Intruz może ponownie wykorzystać bilet do podszycia się pod uprawnionego użytkownika. Ponadto niepodpisany ruch sieciowy jest podatny na ataki „man-in-the-middle”, w których intruz przechwytuje pakiety między klientem a serwerem, zmienia pakiety, a następnie przesyła je do serwera. Jeśli taka sytuacji zdarzy się na serwerze LDAP, osoba atakująca może spowodować, że serwer będzie podejmować decyzje oparte na sfałszowanych żądaniach pochodzących od klienta LDAP.

W następnych częściach serii pokażę jak wsadowo zweryfikować bieżące ustawienia na kontrolerach domeny, a także metody monitorowania i wsadowej obróbki logów dotyczących (wkrótce niewspieranych) połączeń LDAP. 

Źródła:

[1] Microsoft Guidance for Enabling LDAP Channel Binding and LDAP Signing –  https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV190023

[2] Man in the Middle – https://docs.microsoft.com/en-us/openspecs/windows_protocols/ms-sstp/4a6778bc-a4a9-46c6-9120-7493c61f95e5

[3] SASL Authentication – https://docs.microsoft.com/en-us/openspecs/windows_protocols/ms-adts/989e0748-0953-455d-9d37-d08dfbf3998b

[4] LDAP simple bind – https://docs.microsoft.com/en-us/openspecs/windows_protocols/ms-adts/b645c125-a7da-4097-84a1-2fa7cea07714#gt_49986978-abd0-4f77-b04c-c221098e3fef

[5] Kerberos replay attack – https://docs.microsoft.com/pl-pl/windows/security/threat-protection/auditing/event-4649

[tsujimitsu]

Active Directory Light Weight Directory Service

■参考文献

・AD LDS

http://technet.microsoft.com/ja-jp/library/cc732019(v=ws.10).aspx

・AD LDSの概要

http://technet.microsoft.com/ja-jp/library/cc733064(v=ws.10).aspx

・AD LDS インスタンスとは

http://technet.microsoft.com/ja-jp/library/cc770698(v=ws.10).aspx

・AD LDS スキーマとは

http://technet.microsoft.com/ja-jp/library/cc753882(v=ws.10).aspx

・AD LDS レプリケーションおよび構成セットとは

http://technet.microsoft.com/ja-jp/library/cc770465(v=ws.10).aspx

・新しいAD LDSインスタンスの作成

http://technet.microsoft.com/ja-jp/library/cc731687(v=ws.10).aspx

・既存のAD LDSインスタンスのレプリカを作成する

http://technet.microsoft.com/ja-jp/library/cc725829(v=ws.10).aspx

・LDIF ファイルからデータをインポートする

http://technet.microsoft.com/ja-jp/library/cc771986(v=ws.10).aspx

・アプリケーション ディレクトリ パーティションの作成

http://technet.microsoft.com/ja-jp/library/cc771757(v=ws.10).aspx

・ディレクトリ パーティションの操作

http://technet.microsoft.com/ja-jp/library/cc730613(v=ws.10).aspx

・グループ メンバーシップを管理する

http://technet.microsoft.com/ja-jp/library/cc770527(v=ws.10).aspx

・AD LDS インスタンスのバックアップまたは復元

http://technet.microsoft.com/ja-jp/library/cc733082(v=ws.10).aspx

・AD DS のデータを AD LDS と同期する

http://technet.microsoft.com/ja-jp/library/cc753671(v=ws.10).aspx

・インスタンスの操作

http://technet.microsoft.com/ja-jp/library/cc753742(v=ws.10).aspx

・ディレクトリ パーティションの操作

http://technet.microsoft.com/ja-jp/library/cc730613(v=ws.10).aspx

・認証とアクセス制御の操作

http://technet.microsoft.com/ja-jp/library/cc732857(v=ws.10).aspx

・AD LDS 管理ツール

http://technet.microsoft.com/ja-jp/library/cc753577(v=ws.10).aspx

・サービス アカウントの選択

http://technet.microsoft.com/ja-jp/library/cc742505(v=ws.10).aspx

・ユーザー インターフェイス: Active Directory ライトウェイト ディレクトリ サービス セットアップ ウィザード

http://technet.microsoft.com/ja-jp/library/cc742414(v=ws.10).aspx

・Active Directory ライトウェイト ディレクトリ サービスの概要

http://technet.microsoft.com/ja-jp/library/cc754361(v=ws.10).aspx

・ステップ バイ ステップ ガイド - Active Directory ライトウェイト ディレクトリ サービスのレプリケーション

http://technet.microsoft.com/ja-jp/library/cc731246(v=ws.10).aspx

・Active Directory のレプリケーションを一時的に停止する方法

http://engineermemo.wordpress.com/2009/06/17/active-directory-%E3%81%AE%E3%83%AC%E3%83%97%E3%83%AA%E3%82%B1%E3%83%BC%E3%82%B7%E3%83%A7%E3%83%B3%E3%82%92%E4%B8%80%E6%99%82%E7%9A%84%E3%81%AB%E5%81%9C%E6%AD%A2%E3%81%99%E3%82%8B%E6%96%B9%E6%B3%95/

・Active Directory 関係

http://engineermemo.wordpress.com/category/active-directory/

[tsujimitsu]

AD LDS でdsgetコマンド等を使う

AD LDSの役割を追加するだけでは、dsget, dsaddなどのコマンドが使えない。なので、Active Directory ドメインサービスの役割を追加して、サービスは起動せずにコマンドだけ使う。（powershellからアクセスできるが異様に遅い）

http://adtan.wordpress.com/2012/02/12/%E3%82%B3%E3%83%9E%E3%83%B3%E3%83%89%E3%83%A9%E3%82%A4%E3%83%B3-%E3%83%84%E3%83%BC%E3%83%AB%E3%81%A7%E3%81%AE%E3%82%B0%E3%83%AB%E3%83%BC%E3%83%97%E3%81%B8%E3%81%AE%E3%83%A1%E3%83%B3%E3%83%90%E3%83%BC/

http://adtan.wordpress.com/2012/01/02/%E3%82%B3%E3%83%9E%E3%83%B3%E3%83%89%E3%83%A9%E3%82%A4%E3%83%B3-%E3%83%84%E3%83%BC%E3%83%AB%E3%81%A7%E3%83%A6%E3%83%BC%E3%82%B6%E3%83%BC%E3%82%92%E5%89%8A%E9%99%A4/

# dsget group "CN=g_sales,OU=Groups,DC=codelogue,DC=com" -members -s lds01:389

# dsmod group "CN=g_sales,OU=Groups,DC=codelogue,DC=com" -addmbr "CN=test01,OU=Groups,DC=codelogue,DC=com" -s lds01:389

# dsrm "CN=test01,OU=Users,DC=codelogue,DC=com" -s lds01:389 -noprompt

　⇒dsrmは削除するか確認が返ってくるのでnopromptで自動返答する

[tsujimitsu]

AD LDSをコマンド操作する

検証時等で操作したい時に必要。

ユーザのグループ追加とか

http://blogs.technet.com/b/askds/archive/2009/09/14/windows-2008-r2-managing-ad-lds-using-the-ad-powershell-module.aspx

例）

New-ADUser -name "test01" -Displayname "test01" -server lds01:389 -Path "OU=Users,DC=codelogue,DC=com"

Add-ADGroupMember -identity "CN=g_sales,OU=Groups,DC=codelogue,DC=com" -member "CN=test01,OU=Users,DC=codelogue,DC=com" -partition "DC=codelogue,DC=com" -server lds01

powershellをコマンドプロンプトから呼び出してバッチ処理する

http://news.mynavi.jp/column/powershell/013/index.html

http://technet.microsoft.com/ja-jp/scriptcenter/powershell_owner05.aspx

http://d.hatena.ne.jp/mokkyu/20080421/1208728868

1. ファイルを準備する

C:¥Users¥Administrator¥Desktop¥Test.ps1

  Import-Module ActiveDirectory

  New-ADUser -name "test01" -Displayname "test01" -server lds01:389 -Path "OU=Users,DC=codelogue,DC=com"

  Add-ADGroupMember -identity "CN=g_sales,OU=Groups,DC=codelogue,DC=com" -member "CN=test01,OU=Users,DC=codelogue,DC=com" -partition "DC=codelogue,DC=com" -server lds01

2. コマンドプロンプトを開く

C:¥Users¥Administrator¥Desktop>

  # powershell Set-ExecutionPolicy RemoteSigned

  # powershell ./Test.ps1

コマンドで検索とかする

http://www.upken.jp/kb/bEIQypTouWhBnzwQQlhXilmkYtAOyb.html

コマンドラインからユーザ追加（ldfideコマンド）

http://technet.microsoft.com/ja-jp/library/cc725619(v=ws.10).aspx