LDAP over SSL / LDAPs

[hoki 10]

Hallo Board.

 

Wir möchten in unserer Domäne SSL verschlüsselte LDAP Abfragen ermöglichen. In unserem Fall würde ein Zertifikat eines Drittanbieters reichen. Und von MS gibt es dazu auch einen passenden Kb Eintrag, nämlich diesen; How to enable LDAP over SSL with a third-party certification authority

 

ABER, ist das wirklich schon alles (abgesehen davon beim Zertifikat die richtigen Infos anzugeben) ? Muss ich mich nicht um die Schlüsselverwaltung kümmern etc.?

 

Ich habe hier auch das offizielle PKI Buch von MS, das hilft mir aber auch nicht wirklich weiter. Reicht es denn wirklich aus den beschriebenen Weg auf einem DC auszuführen? Desweiteren haben wir einen Multi-Domänen Forrest. Wirkt sich eine solche Änderung wirklich nur auf die einzelne Domäne aus, oder folgern daraus auch Änderungen für alle Domänen im Forrest? Evtl. hat da jemand von euch Felderfahrung und kann da Tips geben die auch normalsterbliche verstehen ;)

Die PKI Dokumente von MS sind wirklich starker Tobak.

 

gruß hoki

[gysinma1 13]

Hallo

 

Es fragt sich, was Du machen willst. Wir benötigten LDAP-S für die Integration der HP Remote Insight Boards zur Verwaltung über die Active Directory. Wir hatten, da der gesamte Prozess in den Dokumentationen für Lokale Administratoren abgebildet wurde, es per Prozess auf diese verwiesen. (und gemäss GxP/GAMP IV festgelegt).

 

Angenommen Du willst PKI für weitere Dinge verwenden wie Signieren von Emails oder PDF's zum Beispiel rate ich dringend dazu PKI Experten beizuziehen, denn das ganze geht weit in rechtliche und personalrechtliche Fragen.

 

Wenn LDAPs nur als added value verwendet werden soll damit es da ist würde ich darauf verzichten, da mit LDAP-s alleine in einem Firmennetz keine Sicherheit importieren kann.

 

Gruss,

Matthias

[hoki 10]

Hallo.

 

Nein, Secure Email o.ä Anwendungen (ILO`s ans AD binden etc) möchten wir nicht umsetzen. Es geht rein um die Möglichkeit LDAP Abfragen zu verschlüsseln, so das dieser Traffic (der ansonsten ja im Klartext über das Netz geht) ansatzweise geschützt ist/wird. Das es dann damit nicht getan ist, ist klar. Erscheint aber für den Anfang aber mehr als Sinnvoll.

 

Wie gesagt, die PKI Dokumentation ist recht, ähhh, trocken. Deswegen stehe ich bei diesem Thema ja so auf dem Schlauch. Ich kann wirklich nicht Einschätzen welche Aufwände dort entstehen, vorallem weil es in dem geposteten KB so simpel erscheint. Wenn es so ist, um so besser. Aber da ich es nicht nachlesen kann muss ich auf eure Erfahrungen hoffen. Und da insbesondere nochmal mit dem Hinweis auf den Multi-Domain Forrest.

 

hoki