Windows Server 2025 Domain Controller Geçişlerinde LDAP Signing ve Channel Binding Yönetimi

Active Directory Domain Services (AD DS), kurumsal ortamlarda kimlik doğrulama, yetkilendirme dizin hizmetlerinin temelini oluşturan Microsoft teknolojilerinden biridir. Active Directory altyapılarında gerçekleştirilen Domain Controller geçişlerinde genellikle işletim sistemi sürümleri, Active Directory replikasyonu, DNS yapılandırması, FSMO rolleri SYSVOL ımı gibi kritik bileşenlerin sağlıklı çalışmasına odaklanılır.

Ancak Domain Controller’ın sorunsuz şekilde domaine eklenmesi Active Directory replikasyonunun başarılı olması, sunucuyla iletişim kuran bütün uygulamaların sorunsuz çalışacağı anlamına gelmez. Özellikle LDAP protokolünü kullanarak kimlik doğrulama gerçekleştiren uygulamalar, yeni Domain Controller sunucularında karşılaştıkları güvenlik gereksinimleri nedeniyle bağlantı sorunları yaşayabilir.

Windows Server 2019 Windows Server 2025 Domain Controller sunucularının birlikte kullanıldığı ortamlarda durum daha belirgin hâle gelebilir. Örneğin, LDAP üzerinden kullanıcı doğrulaması yapan uygulamanın bazı zamanlarda sorunsuz çalıştığını, bazı zamanlarda ise aşağıdaki hatayı verdiğini düşünelim:

LdapException: Strong Authentication Required Server Message: The server requires binds to turn on integrity checking if SSL/TLS are not already active on the connection.

hata ilk bakışta kullanıcı adı, parola veya uygulama kaynaklı kimlik doğrulama problemi gibi değerlendirilebilir. Ancak hata mesajı incelendiğinde sorunun, LDAP bağlantısında gerekli güvenlik koşullarının sağlanamamasından kaynaklanabileceği anlaşılmaktadır.

Microsoft, Windows Server 2025 birlikte yeni Active Directory dağıtımlarında LDAP Signing gereksinimlerini varsayılan olarak zorunlu hâle getirmiştir. değişiklik Active Directory güvenliğini artırmayı amaçlasa LDAP Signing desteklemeyen veya güvenli bağlantı kullanmayan eski uygulamalarda uyumluluk sorunları oluşturabilir.

makalede Windows Server 2025 gelen LDAP güvenlik değişikliklerini, LDAP Signing LDAP Channel Binding arasındaki farkları, karşılaşılabilecek hata mesajlarını PowerShell üzerinden gerçekleştirilebilecek analiz yöntemlerini inceleyeceğiz.

LDAP Signing Nedir?

LDAP (Lightweight Directory Access Protocol), Active Directory içerisindeki kullanıcı, grup, bilgisayar dizin nesnelerine erişmek amacıyla kullanılan protokoldür. Kurumsal uygulamalar LDAP üzerinden kullanıcıların kimlik bilgilerini doğrulayabilir, grup üyeliklerini sorgulayabilir veya belirli Active Directory nesnelerini okuyabilir. Ancak LDAP bağlantısının güvenli şekilde gerçekleştirilmesi önemlidir.

Örneğin uygulama TCP 389 portundan TLS kullanmadan simple bind gerçekleştiriyorsa kullanıcı adı parola gibi bilgiler ağ üzerinde yeterli koruma olmadan iletilebilir. LDAP Signing, LDAP iletişiminde mesaj bütünlüğünü korumak amacıyla kullanılan güvenlik mekanizmasıdır. LDAP Signing sayesinde LDAP mesajlarının iletişim sırasında yetkisiz kişiler tarafından değiştirilmesine karşı koruma sağlanır.

Bununla birlikte LDAP Signing hakkında önemli ayrıntı bulunmaktadır: LDAP Signing, LDAP trafiğini tek başına şifrelemez. Signing temel olarak bütünlük koruması sağlar. Gizlilik şifreleme gereksinimleri TLS veya uygun SASL Sealing mekanizmalarıyla karşılanabilir.

LDAP bağlantı yöntemleri Bağlantı yöntemiPortAçıklamaLDAPTCP 389TLS olmadan bağlantı kurulabilir. Güvenlik kullanılan bind yöntemine bağlıdır.LDAP + STARTTLSTCP 389LDAP bağlantısında TLS etkinleştirilir.LDAPSTCP 636LDAP bağlantısı baştan TLS üzerinden gerçekleştirilir.Global Catalog LDAPTCP 3268Global Catalog sorguları için kullanılır.Global Catalog LDAPSTCP 3269Global Catalog bağlantısının TLS üzerinden gerçekleştirilmesini sağlar.

Burada TCP 389 portunun her durumda güvensiz olduğu düşünülmemelidir. Örneğin STARTTLS veya uygun SASL Signing/Sealing yapılandırmasıyla TCP 389 üzerinden güvenli LDAP iletişimi gerçekleştirilebilir. Aynı şekilde TCP 636 portunun kullanılması tek başına yeterli değildir. TLS bağlantısında sertifika doğrulamasının doğru yapılması gerekir.

Windows Server 2019 Windows Server 2025 Arasındaki LDAP Signing Farkı

Windows Server 2019 üzerinde LDAP Signing özelliği bulunmasına rağmen varsayılan yapılandırmada sunucu tarafında zorunlu değildir. Dolayısıyla LDAP Signing zorunluluğu ayrıca yapılandırılmamışsa, imzasız LDAP bağlantıları kabul edilebilir.

Windows Server 2025 birlikte Microsoft, yeni Active Directory dağıtımlarında daha sıkı varsayılan güvenlik yaklaşımı benimsemiştir. Bunun önemli parçalarından biri LDAP Signing Enforcement politikasıdır.

Windows Server sürümlerinin karşılaştırılması ÖzellikWindows Server 2019Windows Server 2025LDAP Signing desteğiEvetEvetVarsayılan LDAP Signing gereksinimiZorunlu değilYeni AD dağıtımlarında zorunluLDAP Signing Enforcement politikasıHayırEvetLDAP Channel BindingDesteklenirDesteklenirVarsayılan Channel BindingNeverYeni AD dağıtımlarında When SupportedLDAPSDesteklenirDesteklenirSTARTTLSDesteklenirDesteklenir

Ancak tabloda dikkat edilmesi gereken önemli ayrıntı vardır. Windows Server 2025 kurulu olması, ilgili Domain Controller’ın mutlaka LDAP Signing zorunluluğu uyguladığı anlamına gelmez. Microsoft, mevcut Windows Server sürümlerinden yapılan yükseltmelerde var olan LDAP Signing politikalarının korunduğunu belirtmektedir.

Ayrıca mevcut Active Directory domainine yeni Windows Server 2025 DC eklemek tamamen yeni Active Directory dağıtımı oluşturmak aynı işlem değildir. nedenle karma ortamlarda yalnızca işletim sistemi sürümüne bakmak yerine sunuculara uygulanan güvenlik politikaları kontrol edilmelidir.

Windows Server 2025 LDAP Signing Enforcement Politikası

Windows Server 2025 birlikte aşağıdaki güvenlik politikası kullanıma sunulmuştur:

Domain controller: LDAP server signing requirements enforcement

politika, önceki Windows Server sürümlerinde kullanılan LDAP Signing politikasından farklı işleve sahiptir. Önceki sürümlerde LDAP Signing gereksinimi politika üzerinden yönetiliyordu:

Domain controller: LDAP server signing requirements

Windows Server 2025 üzerinde iki politika birlikte değerlendirilmektedir.

LDAP Signing Enforcement seçenekleri PolitikaDeğerDavranışLDAP server signing requirementsNoneEski politika kapsamında Signing zorunlu değildir.LDAP server signing requirementsRequire signingİmzasız LDAP bind işlemleri reddedilir.LDAP server signing requirements enforcementEnabledLDAP Signing zorunlu tutulur.LDAP server signing requirements enforcementDisabledSigning davranışını eski politika belirler.LDAP server signing requirements enforcementNot ConfiguredWindows Server 2025 yeni dağıtımlarında varsayılan olarak zorunluluk uygulanabilir.

Buradaki önemli konu politika önceliğidir. LDAP Signing Enforcement etkinse eski LDAP Signing politikasının None olarak yapılandırılmış olması, imzasız bağlantıların kabul edileceği anlamına gelmez. Enforcement politikası, eski LDAP Signing politikasından önceliklidir. nedenle Windows Server 2025 üzerinde LDAP Signing davranışı incelenirken her iki politikanın birlikte değerlendirilmesi gerekir.

Strong Authentication Required Hatası Neden Oluşur?

LDAP üzerinden Active Directory kimlik doğrulaması gerçekleştiren uygulamada aşağıdaki hata oluşabilir:

Strong Authentication Required Server Message: 0000 The server requires binds to turn on integrity checking if SSL/TLS are not already active on the connection.

hata Domain Controller’ın, istemcinin kullandığı LDAP bağlantı yöntemini yeterli güvenlik seviyesinde bulmadığını gösterir. Örneğin uygulama TLS kullanmadan LDAP simple bind gerçekleştiriyorsa bağlantı kurulan Domain Controller LDAP Signing zorunluluğu uyguluyorsa kimlik doğrulama işlemi reddedilebilir.

Benzer şekilde LDAP Signing kullanılmayan bazı SASL bağlantıları hatayla karşılaşabilir. Burada uygulama Domain Controller arasındaki bağlantının nasıl kurulduğu önemlidir.

Hata neden bazen oluşur?

Windows Server 2019 Windows Server 2025 Domain Controller’ların birlikte bulunduğu ortam düşünelim. Uygulamanın farklı zamanlarda farklı Domain Controller’lara LDAP bağlantısı gerçekleştirdiğini varsayalım.

APPLICATION SERVER | | LDAP Authentication | DC Selection Process | +----------+----------+ | | | | DC01 - 2019 DC02 - 2025 | | | | LDAP Signing LDAP Signing Not Required Required | | | | Successful LDAP Error 8 Authentication Authentication Failed

örnek senaryoda uygulama Windows Server 2019 DC’ye bağlandığında LDAP isteği kabul edilebilir. Ancak Windows Server 2025 DC’ye bağlandığında güvenlik gereksinimi farklıysa aynı istek reddedilebilir.

Bunun sonucunda uygulama bazen başarılı, bazen başarısız kimlik doğrulaması gerçekleştiriyor gibi görünebilir. Ancak durumun kesin olarak LDAP Signing farklılığından kaynaklandığı söylenemez.

Benzer belirtiler DNS çözümlemesi, ağ erişimi, uygulama bağlantı havuzu, Load Balancer veya sertifika yapılandırmasından kaynaklanabilir. Dolayısıyla hatanın kesin nedenini tespit etmek için uygulamanın hangi Domain Controller’a bağlandığının ilgili DC’nin güvenlik yapılandırmasının belirlenmesi gerekir

LDAP Signing Ayarlarının PowerShell Kontrol Edilmesi

LDAP Signing ayarlarını kontrol etmek için Domain Controller üzerinde aşağıdaki registry yolu kullanılabilir:

HKEY_LOCAL_MACHINE \SYSTEM \CurrentControlSet \Services \NTDS \Parameters

bölümde üç önemli değer bulunmaktadır:

LDAPServerIntegrity LDAPServerEnforceIntegrity LdapEnforceChannelBinding

LDAPServerIntegrity değer, geleneksel LDAP Signing politikasının yapılandırmasını gösterir.

Registry değeriAnlamı1LDAP Signing zorunlu değil (None)2LDAP Signing zorunlu (Require signing)

Burada LDAPServerIntegrity = 1 değeri, eski LDAP Signing politikasının None olarak yapılandırıldığı anlamına gelir. Ancak Windows Server 2025 üzerindeki yeni LDAP Signing Enforcement politikasının etkinliğini tek başına göstermez. eşleme Microsoft’un LDAP güvenlik güncellemelerine ilişkin KB4520412 dokümanında belirtilmektedir.

çıktıda LDAPServerIntegrity = 1 olması eski signing politikasının zorunlu olmadığını gösterir. alanların boş olması ise ilgili registry değerlerinin tanımlı olmadığını gösterebilir. Registry değerinin bulunmaması, ilgili güvenlik mekanizmasının kesin olarak devre dışı olduğunu göstermez. nedenle etkin Group Policy yapılandırması kontrol edilmelidir.

Bütün Domain Controller’ları tek seferde kontrol etme

Çok sayıda DC bulunan ortamlarda bütün sunucuların LDAP güvenlik yapılandırmasını ayrı ayrı kontrol etmek yerine merkezi PowerShell denetimi gerçekleştirilebilir.

denetimde her sunucunun işletim sistemi, LDAP Signing ayarları, LDAP Signing Enforcement değeri, Channel Binding durumu ilgili olay kayıtları birlikte raporlanabilir.

Import-Module ActiveDirectory $DCs = Get-ADDomainController -Filter * $Results = foreach ($DC in $DCs) { try { Invoke-Command -ComputerName $DC.HostName -ErrorAction Stop -ScriptBlock { $Path = "HKLM:\SYSTEM\CurrentControlSet\Services\NTDS\Parameters" $OS = (Get-CimInstance Win32_OperatingSystem).Caption $Signing = (Get-ItemProperty ` -Path $Path ` -Name LDAPServerIntegrity ` -ErrorAction SilentlyContinue).LDAPServerIntegrity $Events = @(Get-WinEvent -FilterHashtable @{ LogName = "Directory Service" Id = 2888,2889 StartTime = (Get-Date).AddHours(-24) } -ErrorAction SilentlyContinue) [PSCustomObject]@{ DCName = $env:COMPUTERNAME OperatingSystem = $OS LDAPSigning = if ($null -eq $Signing) { "Not Configured" } else { $Signing } RejectedBinds2888 = @($Events | Where-Object Id -eq 2888).Count UnsignedBinds2889 = @($Events | Where-Object Id -eq 2889).Count Error = "" } } } catch { [PSCustomObject]@{ DCName = $DC.HostName OperatingSystem = $DC.OperatingSystem LDAPSigning = "Unknown" RejectedBinds2888 = $null UnsignedBinds2889 = $null Error = $_.Exception.Message } } } $Results | Format-Table -AutoSize

Script, ilgili kayıtları DC’lerden toplar sonuçları aşağıdaki gibi raporlar:

DCOSSigningEnforcementEvent 2888DC01Server 20191—0DC02Server 20191—0DC03Server 20251—1DC04Server 20251—1

örnekte özellikle Windows Server 2025 DC’lerde Event ID 2888 kayıtlarının bulunması dikkat çekmektedir. Ancak Event 2888 = 1 değeri yalnızca LDAP isteğinin reddedildiğini göstermez. kayıt günlük özet niteliğindedir. Reddedilen bağlantılar hakkında ayrıntılı değerlendirme yapılabilmesi için olay mesajının incelenmesi gerekir.

LDAP Signing Event ID 2886, 2887, 2888 2889

LDAP Signing sorunlarının analizinde Event Viewer önemli rol oynar. Domain Controller üzerinde Directory Service olay günlüğünden LDAP bağlantılarına ilişkin bilgiler elde edilebilir.

LDAP Signing ilişkili önemli Event ID’ler şunlardır:

Event IDAçıklama2886DC üzerinde LDAP Signing zorunlu olmadığında oluşturulan güvenlik uyarısı.2887Kabul edilen imzasız LDAP bağlantılarının 24 saatlik özeti.2888LDAP Signing gereksinimi nedeniyle reddedilen bağlantıların 24 saatlik özeti.2889İmzasız LDAP bind gerçekleştiren istemcilerin tespiti için kullanılan ayrıntılı olay kaydı.

olay kayıtlarının doğru yorumlanması önemlidir. Örneğin Event ID 2888, Domain Controller’ın imzasız LDAP bağlantılarını reddettiğini gösterebilir. Ancak ilgili isteği hangi uygulamanın gerçekleştirdiğini doğrudan belirlemek için yeterli olmayabilir.

Event ID 2888 kayıtlarını görüntüleme

Belirli DC üzerinde son üç günlük LDAP Signing olaylarını sorgulayabiliriz.

Get-WinEvent -ComputerName DC03 -FilterHashtable @{ LogName = "Directory Service" Id = 2888 StartTime = (Get-Date).AddDays(-3) } -ErrorAction SilentlyContinue | Select-Object TimeCreated, Id, Message | Format-List

sorguyla olayın gerçekleştiği tarih mesaj içeriği incelenebilir. Ancak hangi istemcinin LDAP bağlantısını gerçekleştirdiğini tespit etmek için ayrıntılı LDAP teşhis loglamasından yararlanmak gerekir.

Windows Server 2025 LDAP Signing Politikalarının Group Policy Üzerinden Yönetimi

LDAP Signing politikalarının merkezi olarak yönetilmesi için Group Policy Management konsolu kullanılabilir. Aşağıdaki bölüme ilerleyin: Computer Configuration > Policies > Windows Settings > Security Settings Local Policies > Security Options Burada aşağıdaki politikalar bulunur:

Domain controller:LDAP server signing requirements Domain controller:LDAP server signing requirements enforcement LDAP Signing zorunluluğu geçici olarak kaldırılabilir ?

Teknik olarak mümkündür. Örneğin eski LDAP istemcileri nedeniyle geçici uyumluluk ihtiyacı oluştuğunda aşağıdaki yapılandırma değerlendirilebilir:

Güvenlik politikasıGeçici uyumluluk ayarıLDAP server signing requirementsNoneLDAP server signing requirements enforcementDisabled

Ancak yapılandırmanın önemli güvenlik riskleri vardır. LDAP Signing zorunluluğunun kaldırılması yalnızca belirli uygulamayı etkilemez. İlgili Domain Controller’a bağlantı gerçekleştiren bütün LDAP istemcilerinin güvenlik koşullarını etkiler.

nedenle böyle değişiklik, güvenlik değerlendirmesi değişiklik yönetimi kapsamında, geçici kontrollü şekilde ele alınmalıdır. Kalıcı çözüm uygulamaların güvenli LDAP bağlantı yöntemlerine geçirilmesidir.

LDAP Signing LDAP Channel Binding Arasındaki Fark

Windows Server 2025 güvenlik politikaları arasında sıklıkla karıştırılan iki mekanizma bulunmaktadır:

LDAP Signing LDAP Channel Binding.

LDAP Signing, LDAP iletişiminde mesaj bütünlüğü sağlar.

LDAP Channel Binding ise TLS üzerinden gerçekleştirilen uygun SASL kimlik doğrulama oturumlarında ek güvenlik sağlar.

LDAP Channel Binding politikasının üç farklı yapılandırması bulunmaktadır:

DeğerAçıklamaNeverChannel Binding doğrulaması gerçekleştirilmez.When SupportedCBT destekleyen istemcilerden geçerli CBT beklenir; desteklemeyen istemcilere izin verilebilir.AlwaysUygulanabilir TLS/SASL oturumlarında geçerli CBT zorunludur.

Windows Server 2025’in yeni Active Directory dağıtımlarında Channel Binding varsayılanı When Supported şeklindedir. Önemli ayrıntı olarak, TLS üzerinden gerçekleştirilen LDAP simple bind işlemlerinde Channel Binding Token kullanılmaz. Dolayısıyla LDAP Signing hatası görüldüğünde Channel Binding politikasını doğrudan devre dışı bırakmak doğru değildir.

Windows Server 2025, Active Directory güvenliğini artırmaya yönelik önemli değişiklikler içermektedir. değişikliklerden biri yeni Active Directory dağıtımlarında LDAP Signing gereksiniminin varsayılan olarak zorunlu hâle getirilmesidir. Özellikle Windows Server 2019 Windows Server 2025 Domain Controller’ların birlikte kullanıldığı ortamlarda LDAP güvenlik politikalarının farklı olması, bazı uygulamaların beklenmedik kimlik doğrulama hatalarıyla karşılaşmasına neden olabilir.

sorunlardan biri Strong Authentication Required hatasıdır. Ancak söz konusu hata yalnızca işletim sistemi sürümüne bağlı olarak değerlendirilmemelidir.

Uygulamanın hangi Domain Controller’a bağlandığı, hangi LDAP portunu kullandığı, kimlik doğrulama yöntemi hedef DC’nin etkin LDAP güvenlik politikaları birlikte incelenmelidir. PowerShell üzerinden gerçekleştirilen LDAP Signing kontrolleri, Event ID 2888 2889 analizleri Group Policy incelemeleri sorunun kaynağını belirlemede önemli bilgiler sağlar.

LDAP Signing Enforcement politikasının devre dışı bırakılması bazı eski uygulamalar için geçici uyumluluk sağlayabilir. Ancak yaklaşım Domain Controller güvenlik seviyesini düşürdüğünden kalıcı çözüm olarak değerlendirilmemelidir.

En doğru yaklaşım, uygulamaların LDAPS, STARTTLS veya imzalı SASL bağlantılarını desteklemesini sağlamak birden fazla Domain Controller üzerinden kesintisiz kimlik doğrulama gerçekleştirebilecek şekilde yapılandırılmasıdır.

Sonuç olarak başarılı Domain Controller geçişi, yalnızca sunucuların yeni işletim sistemi sürümüne yükseltilmesi veya Active Directory replikasyonunun sağlıklı çalışmasıyla sınırlı değildir. Mevcut uygulamaların yeni güvenlik gereksinimleriyle uyumlu çalışması, kimlik doğrulama süreçlerinin güvenliğinin sağlanması hizmet sürekliliğinin korunması geçiş sürecinin önemli parçasıdır.

nedenle Windows Server 2025 geçişlerinde LDAP Signing Channel Binding yapılandırmalarının önceden değerlendirilmesi, olası uyumluluk sorunlarının tespit edilmesi gerekli önlemlerin alınması, hem güvenli hem sorunsuz Active Directory altyapısı için büyük önem taşımaktadır.

makalenin, Windows Server 2025 geçişi planlayan veya LDAP kaynaklı kimlik doğrulama sorunlarıyla karşılaşan sistem yöneticilerine yol gösterici olmasını dilerim.

sonraki teknik makalede görüşmek üzere.