身份验证和连接到域控制器
轮询域时进行身份验证并连接到域控制器
当轮询域控制器时,管理服务器或分发点识别连接协议以建立与域控制器的初始连接。该协议用于将来与域控制器的所有连接。建立与域控制器的初始连接时,您可以使用网络代理标志 (KLNAG_LDAP_TLS_REQCERT and KLNAG_LDAP_SSL_CACERT) 更改连接选项。您可以按照本文所述使用 klscflag 配置网络代理标志。
与域控制器的初始连接过程如下:
- 管理服务器或分发点尝试通过 LDAPS 连接到域控制器。
默认情况下不需要证书验证。将
KLNAG_LDAP_TLS_REQCERT
标记设置为 1 以强制执行证书验证。KLNAG_LDAP_TLS_REQCERT_AUTH
标记的可能值:0
— 已请求证书,但如果未提供证书或证书验证失败,则 TLS 连接仍被视为成功创建(默认值)。1
— 需要严格验证 LDAP 服务器证书。
默认情况下,如果未指定 KLNAG_LDAP_SSL_CACERT 标志,则使用与操作系统相关的证书颁发机构 (CA) 的路径来访问证书链。使用
KLNAG_LDAP_SSL_CACERT
标志指定自定义路径。 - 如果 LDAPS 连接失败,管理服务器或分发点将尝试使用 SASL (DIGEST-MD5) 通过非加密的 TCP 连接来连接到域控制器。
在向管理服务器验证域用户身份时,需要进行身份验证并连接到域控制器
当域用户在管理服务器上进行身份验证时,管理服务器会识别协议来与域控制器建立连接。
与域控制器建立连接的过程如下:
- 管理服务器尝试通过 LDAPS 连接到域控制器。
需要严格验证 LDAP 服务器证书。
默认情况下,如果未指定 KLNAG_LDAP_SSL_CACERT 标志,则使用与操作系统相关的证书颁发机构 (CA) 的路径来访问证书链。使用
KLNAG_LDAP_SSL_CACERT
标志指定自定义路径。 - 如果 LDAPS 连接失败,则会出现连接域控制器的错误,并且不会使用其他连接协议。
配置标记
您可以使用 klscflag 实用程序来配置标志。
运行命令行,然后将当前目录更改为包含 klscflag 实用程序的目录。在管理服务器设备上,klscflag 实用程序位于安装目录中。默认安装路径为/opt/kaspersky/ksc64/sbin。
例如,以下命令强制执行证书验证:
klscflag -fset -pv klnagent -n KLNAG_LDAP_TLS_REQCERT -t d -v 1