ネットワークのトータル・ソリューション

ネットワークのトータルソリューション:エイチ・シー・ネットワークス株式会社

お知らせ

  1. ネットワーク・トータルソリューション:TOP
  2. お知らせ
  3. 【Account@Adapterシリーズ】Active DirectoryにおけるLDAPチャネルバインディングとLDAP 署名の有効化に伴う影響について

【Account@Adapterシリーズ】Active DirectoryにおけるLDAPチャネルバインディングとLDAP 署名の有効化に伴う影響について

2019年12月17日

マイクロソフト社より、2020年3月のWindowsセキュリティ更新プログラムにおいて、LDAPサーバーの「LDAP チャネルバインディング」「LDAP署名」両機能を有効にするという方針が出されております。(ご参考:外部サイト)https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/adv190023

Account@Adapter+の外部LDAP/AD一覧画面または、Account@AdapterのLDAP一覧画面に表示されている外部LDAP/ADまたは外部LDAPが下記【設定】だった場合、2020年3月のWindowsセキュリティ更新プログラム適用後に、下記【影響】を受けます。 2020年3月のWindowsセキュリティ更新プログラムを適用する前に、下記【回避策】を実施いただくことで当該【影響】を回避することが可能となりますので、該当する場合はご対応のほどよろしくお願いします。

注:続報あり

Account@Adapter+(6系)の該当する【設定】および【影響】とその【回避策】

【設定】

外部LDAP/AD一覧画面(外部LDAP/AD参照>外部LDAP/AD一覧)
・種別がActive Directory
・ポート番号が「389」で、かつ「STARTTLSを使用する」にチェックを付けていない

【影響】

(1)Active Directoryのアカウントを使用したPAP認証が失敗するようになります。
(2)TLS認証をしていて、かつ「Authorize(アカウント検索)」設定でActive Directoryのアカウントを検索し、「当該アカウントが存在しない場合、認証を拒否する」設定をしていた場合、認証が失敗するようになります。
(3)Active Directoryのアカウントを使用した上記(1)(2)以外の認証は成功しますが、ネットワークプロファイル適用機能や属性マップによるRADIUS属性付与/チェックが処理されなくなります。
(4)Active Directoryのアカウントを使用したユーザーツールへのログインができなくなります。
(5)外部LDAP/AD設定で接続監視を「監視する」としていた場合、監視に失敗するようになります。また、外部LDAP/AD一覧画面で「有効」リンクをクリックした際に「LDAP検索に失敗しました。」と表示されるようになります。
(6)外部LDAP/AD設定の「連動アカウント削除機能」の「差分定期抽出による削除」および「指定条件による削除」が正しく処理できなくなるため、Account@Adapter+内のアカウントが連動削除されなくなります。

(補足)

以下の機能には影響ありません。
(1)ADユーザー登録機能

【回避策】

下記(1)もしくは(2)いずれかの対応をお願いします。

(1)Active Directory側でSTARTTLSに対応させ、Account@Adapter+の外部LDAP/AD設定で、ポート番号「389」で「STARTTLSを使用する」にチェックを付ける。  
※ご利用になっているAccount@Adapter+がVer.6.01.01以前だった場合、既知の問題「Account60000-ER138」の影響を受けます。この場合、Account@Adapter+をVer.6.02.00以降にアップデートしてから対応してください。
(2)Active Directory側でポート636でのLDAPS接続を有効にして、Account@Adapter+の外部LDAP/AD設定でポート番号「636」に設定する。  
※この場合「STARTTLSを使用する」にチェックを付ける必要はありません。  
※ご利用になっているAccount@Adapter+がVer.6.07.01以前だった場合、既知の問題「Account60000-ER292」の影響を受けます。(Ver.6.00.00の場合、「Account60000-ER025」の影響も受けます) この場合、Account@Adapter+をVer.6.08.00以降にアップデートしてから対応してください。

Account@Adapter(5系)の該当する【設定】および【影響】とその【回避策】

【設定】

LDAP一覧画面(外部サーバー連係>外部LDAP認証設定>外部LDAP認証)
・情報がActive Directory
・ポート番号が「389」で、かつ「LDAPSを使用する(Ver.5.05.00以降は StartTLSを使用する)」にチェックを付けていない

【影響】

(1)Active Directoryのアカウントを使用したPAP認証が失敗するようになります。
(2)Active Directoryのアカウントを使用したPAP以外の認証は成功しますが、LDAP認証グループ設定機能やldap_attrmapによる、RADIUS属性付与/チェックが処理されなくなります。
(3)Active Directoryのアカウントを使用したユーザーツールへのログインができなくなります。
(4)外部LDAP認設定で接続監視を「監視する」としていた場合、監視に失敗するようになります。また、LDAP一覧画面で「有効」リンクをクリックした際に「LDAP検索に失敗しました。」と表示されるようになります。
(5)外部LDAP設定の「管理端末削除機能」の「差分定期抽出による削除」が正しく処理できなくなるため、Account@Adapter内の端末アカウントが連動削除されなくなります。

(補足)

以下の機能には影響ありません。
(1)Active Directoryデータ連係機能

【回避策】

下記(1)もしくは(2)いずれかの対応をお願いします。

(1)Active Directory側でSTARTTLSに対応させ、Account@Adapterの外部LDAP設定で、ポート番号「389」で「LDAPSを使用する(Ver.5.05.00以降は StartTLSを使用する)」にチェックを付ける。  
※既知の問題「Account40400-ER007」の影響で、「LDAPSを使用する」のチェックボックスはSTARTTLSのON/OFF機能となっております。
(2)Active Directory側でポート636でのLDAPS接続を有効にして、Account@Adapterの外部LDAP設定でポート番号「636」に設定する。  
※既知の問題「Account40400-ER007」の影響で、「LDAPSを使用する」のチェックボックスはSTARTTLSのON/OFF機能となっているため、「LDAPSを使用する」にチェックを付ける必要はありません。

補足事項

Active Directory側のSTARTTLSやLDAPS接続に対応させる方法や確認方法につきましては、Windows Serverシリーズの仕様/設定方法となりますので、マイクロソフト社へのお問い合わせをお願いします。

PDF形式のファイルをご覧になるには、Adobe Systems Incorporated(アドビシステムズ社)のAdobe(R) Reader(R)が必要です

 

COPYRIGHT ©2007-2022 HC Networks, Ltd. ALL RIGHTS RESERVED.

お見積もり依頼・お問い合わせ・
技術情報ダウンロードはこちら