必须同时启用LDAP签名和通道绑定才能实现严格安全：LDAP签名设为“Require signing”，通道绑定注册表值LdapEnforceChannelBinding设为2，二者缺一不可。
要在 windows server 域控制器上为 active directory 配置严格的 ldap 签名与通道绑定，核心是启用两项互补的安全机制：ldap 签名（ldap signing）和通道绑定（channel binding），二者共同防止中间人攻击、凭证重放和 tls 层绕过。仅开启其一效果有限，必须协同配置才能达到“严格”级别。
确保 LDAP 签名强制启用
LDAP 签名要求所有 LDAP 绑定请求（尤其是 Simple Bind 和 SASL Bind）必须使用数字签名，防止明文密码在网络中被截获或篡改。它不加密数据，但保证完整性与来源可信。
- 打开组策略管理控制台（GPMC），编辑域控制器的默认域控制器策略（或专用 GPO），路径为：计算机配置 → 策略 → Windows 设置 → 安全设置 → 本地策略 → 安全选项
- 定位并双击：“Network security: LDAP client signing requirements”，设为 “Require signing”
- 同样修改：“Network security: LDAP server signing requirements”，也设为 “Require signing”
- 运行 gpupdate /force 并重启域控制器服务（或重启服务器），使策略生效
启用并强制 LDAP 通道绑定（LdapEnforceChannelBinding = 2）
通道绑定将 TLS 握手信息（如服务器证书指纹）与后续 LDAP 身份验证绑定，确保客户端不是在伪造的 TLS 通道中向合法服务器发送凭据。这是防范 TLS 中间人攻击的关键防线。
- 在域控制器上以管理员身份运行注册表编辑器（regedit）
- 导航至：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters
- 新建一个 DWORD（32 位）值，名称为：LdapEnforceChannelBinding
- 将其数值数据设为：2（表示“始终已启用”，拒绝所有未提供通道绑定信息的客户端连接）
- 重启 NTDS 服务，或直接重启服务器以确保注册表项加载
验证客户端兼容性与证书前提
严格模式下，旧版客户端（如 Windows 7 SP1 之前、未打 KB4034879 补丁的系统、部分 Java 或 OpenLDAP 客户端）将无法完成绑定。部署前需确认：
- 所有客户端操作系统已安装最新安全更新（特别是 KB4034879 及后续累积更新）
- 域控制器证书由受信任 CA 颁发，且包含正确的 SAN（Subject Alternative Name），例如 ldap://domain.com 或 domain.com
- 客户端能正确解析并信任该证书链；若使用内部 CA，需确保根证书已分发到所有客户端的“受信任的根证书颁发机构”存储区
- LDAPS（端口 636）或 StartTLS（端口 389）连接均支持通道绑定，但建议优先使用 LDAPS 并禁用不安全的纯 LDAP（端口 389 无加密）
测试与监控是否生效
配置后务必验证实际行为，避免误锁合法访问：
- 使用 ldp.exe 工具连接域控制器，勾选“SSL”后尝试绑定；若返回 0x31（无效凭据） 或 0x50（拒绝访问） 且事件日志出现 Event ID 2889（通道绑定失败），说明策略已生效
- 检查 Windows 安全日志中的 Event ID 2886（成功通道绑定）和 2889（失败），确认日志记录正常
- 在域控制器上运行 PowerShell 命令：Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\NTDS\Parameters" -Name LdapEnforceChannelBinding，确认返回值为 2
