Аутентификация и подключение к контроллеру домена

Аутентификация и подключение к контроллеру домена при опросе домена

При опросе контроллера домена Сервер администрирования или точка распространения идентифицирует протокол соединения для установления начального соединения с контроллером домена. Этот протокол используется для всех будущих подключений к контроллеру домена.

Первоначальное подключение к контроллеру домена происходит следующим образом:

Сервер администрирования или точка распространения пытается подключиться к контроллеру домена через LDAPS.
По умолчанию проверка сертификата не требуется. Для флага KLNAG_LDAP_TLS_REQCERT установите значение 1, чтобы принудительно выполнить проверку сертификата.

Возможные значения флага KLNAG_LDAP_TLS_REQCERT_AUTH:
- 0 – сертификат запрошен, но если он не предоставлен или проверка сертификата завершилась неудачно, соединение TLS по-прежнему считается успешно созданным (значение по умолчанию).
- 1 – требуется строгая проверка сертификата LDAP-сервера.
По умолчанию для доступа к цепочке сертификатов используется зависящий от операционной системы путь к центру сертификации (CA). Используйте флаг KLNAG_LDAP_SSL_CACERT, чтобы указать другой путь.
В случае сбоя подключения LDAPS Сервер администрирования или точка распространения пытается подключиться к контроллеру домена по незашифрованному TCP-соединению с помощью SASL (DIGEST-MD5).

Аутентификация и подключение к контроллеру домена при аутентификации доменного пользователя на Сервере администрирования

Когда доменный пользователь выполняет аутентификацию на Сервере администрирования, Сервер администрирования определяет протокол для установки соединения с контроллером домена.

Подключение к контроллеру домена происходит следующим образом:

Сервер администрирования пытается подключиться к контроллеру домена по LDAPS.
По умолчанию требуется проверка сертификата. Используйте флаг KLNAG_LDAP_TLS_REQCERT_AUTH для настройки проверки сертификата.

Возможные значения флага KLNAG_LDAP_TLS_REQCERT_AUTH:
- 0 – сертификат запрошен, но если он не предоставлен или проверка сертификата завершилась неудачно, соединение TLS по-прежнему считается успешно созданным.
- 1 – требуется строгая проверка сертификата LDAP-сервера (значение по умолчанию).
По умолчанию для доступа к цепочке сертификатов используется зависящий от операционной системы путь к центру сертификации (CA). Используйте флаг KLNAG_LDAP_SSL_CACERT, чтобы указать другой путь.
В случае сбоя подключения LDAPS возникает ошибка подключения к контроллеру домена и другие протоколы подключения не используются.

Настройка флагов

Вы можете использовать утилиту klscflag для настройки флагов.

Запустите командную строку и измените текущую директорию на директорию с утилитой klscflag. Утилита klscflag находится в директории, в которой установлен Сервер администрирования. По умолчанию задан путь /opt/kaspersky/ksc64/sbin.

Например, следующая команда принудительно проверяет сертификат:

klscflag -fset -pv klserver -n KLNAG_LDAP_TLS_REQCERT -t d -v 1

В начало