Оставить заявку
ЗаявкаОставить заявку
База знанийSC NexusНастройка LDAP over SSL (LDAPS) на контроллере домен

Настройка LDAP over SSL (LDAPS) на контроллере домен

НастройкаОбновлено: 04.05.2026

🔐 Настройка LDAPS: Центр сертификации и экспорт сертификата

Данное руководство поможет вам развернуть роль AD CS, создать шаблон сертификата и настроить защищенное соединение (LDAP over SSL).

1. Установка роли и настройка Центра сертификации (CA)

Этот этап включает в себя добавление роли сервера и первоначальную конфигурацию PKI (Public Key Infrastructure).

🛠️ Установка роли через «Диспетчер сервера»

  1. Запуск мастера:

Откройте Диспетчер сервера → Управление → Добавить роли и компоненты.

  1. Базовая настройка:

Нажимайте Далее в разделах «Перед началом работы», «Тип установки» и «Выбор сервера», пока не дойдете до выбора ролей.

  1. Выбор роли:

Отметьте галочкой Службы сертификации Active Directory (Active Directory Certificate Services).

  • В открывшемся окне нажмите Добавить компоненты, затем Далее.
  1. Выбор служб ролей:

Убедитесь, что выбрана служба Центр сертификации (Certification Authority).

  1. Завершение установки:

Нажимайте Далее до конца и нажмите Установить.
После окончания установки не закрывайте окно или нажмите на уведомление (флажок сверху).

⚙️ Пост-установочная настройка

Нажмите ссылку «Настроить службы сертификации Active Directory на целевом сервере».

  1. Учетные данные: Текущий пользователь (администратор). Нажмите Далее.
  2. Службы ролей: Выберите Центр сертификации.
  3. Тип установки: Выберите Центр сертификации предприятия (Enterprise CA).
  4. Тип CA: Выберите Корневой центр сертификации (Root CA).
  5. Закрытый ключ: Выберите Создать новый закрытый ключ.
  6. Криптография:
  • Алгоритм хеширования: SHA256.
  • Длина ключа: 2048 (или выше).
  1. Имя и Срок действия: Оставьте настройки по умолчанию (обычно 5 лет).
  2. Финал: Проверьте настройки в окне «Подтверждение» и нажмите Настроить.

2. Создание шаблона сертификата

Нам необходимо создать специальный шаблон, поддерживающий экспорт ключа и DNS-имена.

  1. Откройте консоль управления шаблонами:
  • Нажмите Win + R
  • Введите команду: certtmpl.msc
  1. Найдите шаблон Аутентификация Kerberos (Kerberos Authentication).
  2. Нажмите на него ПКМ → Дублировать шаблон.

📝 Настройка свойств нового шаблона:

ВкладкаДействиеВажность
ОбщиеВключите «Публиковать сертификат в Active Directory».🟢 Обязательно
Обработка запросовВключите «Разрешить экспорт закрытого ключа».🔴 Критично
Имя субъектаВыберите формат «DNS-имя».🔵 Важно
Нажмите **Применить** и **ОК**.

3. Публикация (выпуск) шаблона

Теперь нужно добавить созданный шаблон в список выдаваемых центром сертификации.

  1. Откройте консоль CA: Пуск → Центр сертификации.
  2. Разверните дерево вашего сервера.
  3. Нажмите ПКМ по папке Шаблоны сертификатов → Создать → Выдаваемый шаблон сертификата.
  4. В списке найдите ваш новый шаблон (созданный на шаге 2) и нажмите ОК.

4. Запрос и получение сертификата

  1. Откройте консоль MMC:
  • Нажмите Win + R → введите mmc.
  1. Добавьте оснастку:
  • Меню Файл → Добавить или удалить оснастку.
  • Выберите Сертификаты → Добавить → Учетная запись компьютера → Локальный компьютер.
  1. Запросите сертификат:
  • Перейдите в: Сертификаты (Локальный компьютер) → Личное → Сертификаты.
  • Нажмите ПКМ по пустому месту → Все задачи → Запросить новый сертификат.
  • Нажимайте Далее, пока не появится список шаблонов.
  • Установите галочку напротив вашего шаблона и нажмите Зарегистрировать (Enroll).

5. Экспорт сертификата

Для использования сертификата в сторонних системах его необходимо экспортировать.

  1. В той же консоли (MMC) найдите полученный сертификат.
  2. Нажмите на него ПКМ → Все задачи → Экспортировать.
  3. В мастере экспорта:
  • Выберите Нет, не экспортировать закрытый ключ.
  • Формат: X.509 в кодировке Base-64 (.CER).
  • Укажите путь для сохранения файла.

6. Проверка работы (LDAPS)

Убедимся, что сервер принимает защищенные соединения на порту 636.

  1. Запустите утилиту диагностики:
  • Win + R → ldp.exe
  1. Настройте подключение:
  • Меню Подключение → Подключиться.
  1. Введите параметры:
  • Сервер: localhost (или FQDN имя сервера)
  • Порт: 636
  • SSL: ✅ (Поставить галочку)
  1. Нажмите ОК.

✅ Успех: Если в окне лога вы видите текст, начинающийся с Host supports generated... и детали соединения, значит LDAPS настроен корректно.
❌ Ошибка: Если появляется Error <0x51>: Fail to connect, проверьте, установлен ли сертификат в "Личное" хранилище компьютера и доверяет ли сервер этому CA.