Active Directory'de LDAPS (636 portu) çalışmıyorsa genellikle etki alanı denetleyicisi (DC) uygun bir sertifika bulamamıştır. Denetleyici, yerel bilgisayar deposunda kullanılabilir bir sertifika görürse LDAPS'yi otomatik etkinleştirir; görmezse Directory Service günlüğünde LDAPS'nin kullanılamadığına dair uyarılar yazılır.
DC sertifikasının gereksinimleri
- Sertifika Local Computer - Personal deposunda olmalı ve ilişkili özel anahtar bulunmalı.
- Kullanım alanında Server Authentication (1.3.6.1.5.5.7.3.1) yer almalı.
- Subject veya SAN, DC'nin tam FQDN'ini içermeli (ör.
dc1.ornek.local). - Sertifikayı veren CA'ya hem DC hem istemciler güvenmeli; zincir eksiksiz olmalı.
- Süresi dolmamış olmalı.
Adım adım kontrol
- DC üzerinde
certlm.mscile Personal deposunu açın, sertifikayı ve özel anahtarı doğrulayın. - Zinciri sınayın:
certutil -verify -urlfetch C:\dc1.cer
certutil -store Myldp.exeaçın, Connection menüsünden Connect ile sunucu adını girin, port636seçip SSL'i işaretleyin. Başarılıysa şema bilgileri listelenir.- İstemciden zinciri görmek için:
openssl s_client -connect dc1.ornek.local:636 -showcerts
Sık sebepler
- İstemci, bağlandığı ad ile sertifikadaki ad uyuşmadığı için reddeder (IP ile bağlanmak gibi).
- Kurumsal CA kök sertifikası istemcinin Trusted Root deposunda değil.
- Sertifika şablonu yanlış ya da özel anahtar DC'de hazır değil.
- Yeni sertifika eklendikten sonra etkinleşmesi için servis yenilemesi ya da yeniden başlatma gerekebilir.
Önleme
Sertifika şablonunu otomatik kayıt (autoenrollment) ile dağıtın ve bitiş tarihlerini izleyin. Uygulamalar için doğrulamayı kapatmak yerine CA'yı dağıtın. Dış dünyaya açık hizmetlerde SSL sertifikası seçeneklerimize bakabilir, isteğinizi CSR oluşturucu ile hazırlayabilirsiniz.