Windows Server 2025 LDAPS機能について

Question

Windows Server 2025から既定でLDAP暗号化されるとのことですが、Windows Server 2025自体の新機能でしょうか。

それとも、機能レベルをWindows Server 2025にあげることで起きる機能でしょうか。

Answer 1

Hi さとこ,

厳格なLDAP署名の要件は、Windows Server 2025オペレーティングシステムの組み込みセキュリティベースラインです。新しいドメインコントローラーが導入された瞬間から、Active Directoryドメインやフォレストの機能レベルとは完全に独立して発効します。

Windows Server 2025のドメインコントローラーは、暗号化されていない平文接続や署名されていないSimple Authentication and Security Layerのバインディングリクエストを即座に拒否します。

この動作は__、LDAPサーバー署名要件__であるグループポリシーによって制御されており、このポリシーは__LDAPServerIntegrity__レジストリキーを編集しますHKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters。

機能レベルのアップグレードは、64ビットのLong Value IDや32kのデータベースページサイズなどのバックエンドアップグレードをアンロックするためのアーキテクチャ的な選択であり、LDAPのセキュリティポリシーを強制するためではありません。

強制がOSに厳密に結びついているため、Windows Server 2025のドメインコントローラーを単一の混合環境に持ち込むだけで、安全でないレガシーアプリケーションは即座にブロックされます。管理者は、移行時に__Default Domain Controllersグループポリシー__を変更して一時的にレガシー署名標準に戻すことで後方互換性を維持できます。

ドミックV

Answer 2

チャブーンです。

この件ですが、Windows Server 2025 ドメインコントローラーの LDAP で有効化 (強制) されるのは「署名」です。TLS Start や LDAPS 相当の暗号化とは違いますので、注意してください。

この機能はもともと古いWindows Serverにも存在しましたが、既定で有効化したのは Server 2025 が初めてという意味です。ドメイン機能レベルとは無関係です。なお、以下の情報にもあるよう、古い Windows Server もセキュリティ更新プログラムでLDAP 署名の強制化が行われていますので、2025 独自の機能というものでもないかと、思います。

メモ.　Windows Server 2025のActive DirectoryではLDAP署名が既定で必須に！