LDAP over SSL是否需要客户端上的证书？

Question

我正在尝试解决一个问题，即由于拒绝访问错误，即使通过admin用户对AD进行身份验证，尝试通过LDAP设置用户密码失败了。

在stackoverflow中找到的答案说，要么我必须以admin用户身份运行IIS用户（这确实起作用），要么我应该通过SSL连接到LDAP。我不能选择第一个选项，因为我使用的是Elastic Beanstalk，它将创建和终止实例，因此我无法更改/设置IIS将作为其运行的用户。因此，我尝试使用LDAP over SSL的想法。我的问题是，是否仍然需要客户端本身也安装证书才能与域控制器建立信任？还是仅通过在域控制器上安装证书并允许通过SSL的连接来工作？如果它在客户端上需要证书，那么我会遇到同样的问题，因为我无法在客户端服务器上安装任何已部署应用程序之外的东西，因为Beanstalk将随意收回并终止该实例。

LDAPS是否需要在客户端上提供证书？鉴于我正在使用的基础架构，是否有更好的方法来解决我的问题？

Answer 1

那么 LDAPS 是否需要客户端上的证书？

不，LDAPS 不需要客户端证书。域控制器证书足以使用 LDAPS。有关 LDAPS 和证书要求的更多详细信息：LDAP over SSL (LDAPS) 证书

由于访问被拒绝错误，尝试通过 LDAP 设置用户密码失败

您收到此消息的原因可能超过 9000 个。您需要检查您是否在DC上成功通过身份验证，如果是，请检查您是否有权限和特权（特别是如果启用了UAC）。我会设置审核策略（针对失败的用户密码更改）并检查安全事件日志以找出问题所在。