月飞博客 - windows AD
type: channel
link: https://www.moonfly.net/tag/windows-AD/
items: 升级windows 2025 AD 后第三方应用无法对接LDAP问题

升级windows 2025 AD 后第三方应用无法对接LDAP问题
type: item
date: 2025-07-05T21:11:00+08:00
description: 背景将组织中的 windows DC 域控升级到最新的 2025 之后，原本通过 ldap 协议集成 AD 的统一认证和组织信息同步的业务系统出现了无法连接 AD 的错误；其主要原因是 windows 2025 AD 增强了安全性，默认禁止在明文的连接中使用 simple bind 简单身份认证机制；这里记录一下其根本原因以及相关的解决方法；问题现象当第三方应用程序客户端使用标准的 LDAP 协议以 simple bind 认证模式连接 2025 DC 的标准 389 端口时，会收到服务器返回类似如下的错误信息。ldap_bind: Strong(er) authentication required (8)Server error: 00002028: LdapErr: DSID-0C0903CC, comment: The server requires binds to turn on integrity checking if SSL\TLS are not already active on the connection, data 0, v65f4Error 0x2028 这台服务器需要一个更安全的身份验证方法。ldap_simple_bind_s() failed: 需要加强的身份验证其原因是： DC 服务器拒绝在明文（非加密）的连接上执行LDAP的简单绑定（simple bind）操作；如果我们切换为通过 636 端口进行加密的 LDAPs 会话尝试执行简单绑定时，也可能会遇到无法连接到 LDAP 服务器的问题；这是因为在域内没有安装部署微软的 CA 证书服务器的环境下，2025 DC 默认会因为找不到合适的默认服务器 SSL 凭据而无法处理SSL加密的 LDAPs 访问请求；当不支持SSL会话的 DC 在接收到客户端发起的 LDAPs 请求时，会在 windows 的事件日志中出现如下 ID 为 36886 的警告记录：日志名称: System来源: Schannel日期: 2025/7/5 13:29:54事件 ID: 36886任务类别: 无级别: 警告关键字:用户: SYSTEM计算机: DC.domain.local描述: 这个系统上没有合适的默认服务器凭据。这将阻止要使用系统默认凭据的服务器应用程序接受SSL连接。类似的应用程序有目录服务器。管理自身凭据的应用程序，如 Internet 信息服务器，不受此影响。 SSPI 客户端进程为 lsass(PID: 944)。解决方案解决以上问题有以下3种方案可可选1. 临时方案 - DC安全性降级为了快速恢复原本与DC对接的业务系统的服务，可以通过组策略（Group Policy）临时调整 DC 的安全性配置，使其允许在明文（非加密）的连接上执行LDAP的简单绑定（simple bind）操作 实现在不对业务系统做任何调整的情况下，恢复与 DC 的统一认证和组织数据同步的对接；[scode type="red"]该方案是以降级DC的通讯安全性为代价的，系统管理员需要综合谨慎的评估风险后决定是否采用；建议只作为临时紧急恢复业务的备选方案；[/scode]具体配置如下：使用域管理员账户登录 DC 后按 win + r 打开运行窗口，输入 gpedit.msc 回车，打开组策略编辑器导航到 计算机配置 --> Windows设置 --> 安全设置 --> 本地策略 --> 安全选项找到配置项：域控制器: LDAP 服务器强制签名要求 将其设置为 “已禁用”在CMD命令行下执行 gpupdate /force 指令刷新组策略生效2. 域内部署CA证书服务器在不降级 DC 安全性配置的情况下，可以配置客户端通过 636 端口以SSL安全会话的方式与DC 进行通讯就可以满足DC的强制性签名要求；按照微软官方对于 Event-ID: 36886 的说明，几乎都是建议通过安装CA证书服务器来解决；当服务器尝试建立 SSL 连接但未找到服务器证书时，会发生此事件。在没有企业 CA 的域中，此事件是正常现象，可以安全地忽略。或者，您可以在域中安装一个 CA。[scode type="green"]安装部署 CA 证书颁发机构的步骤请自行参考微软文档，这里不做过多介绍[/scode]3. 手动为 DC 生成并安装自签名证书很多时候我们并不想单纯只为了修复 LDAP 的SSL问题，而在域内完整部署一套 CA 证书服务；那么我们也完全可以手动生成一张自签名(self signed)的SSL证书，只要符DC默认服务器SSL凭据的标准和要求，安装到DC就可以让其正常启动和处理 LDAPs 的请求而不再产生警告事件；具体操作步骤如下：1. 生成新的符合要求的自签名SSL证书在DC服务器上…