ssl - 如果必须使用 Active Directory 进行身份验证，是否应该将 LDAPS 证书导入每台客户端计算机？

Question

我是 LDAP、SSL 和 AD 的新手。试图了解如何处理它，但即使在谷歌上进行了大量搜索后也找不到一些问题的答案。

安装 AD 证书颁发机构后，它会生成一个必须导入到 AD 域 Controller 中的证书。它是否正确？此导入是一次性设置？

如果客户端机器上有一个软件想要向 AD 进行身份验证，是否也应该将证书导入到客户端机器上？

只是在客户端机器上的软件中将协议(protocol)设置为“SSL”并没有帮助。是否应将证书导入到必须与 AD 通信的每台客户端计算机的证书存储中？

Answer 1

不需要在客户端计算机上导入证书。如果您使用的是自签名证书或来自内部 CA 的证书，则需要确保证书的颁发链最终在客户端计算机上受到信任。

您还需要确保 DC 正在监听 636/3269。

您可以使用 RSAT 工具中包含的 ldp 实用程序从客户端对此进行测试。