Dlaczego synchronizacja z Active Directory nie działa na Windows Server 2025, gdy korzystam z protokołu LDAP?

Z powodu domyślnych ustawień systemu Windows, problem ten występuje wyłącznie w środowiskach Windows Server 2025.

Problem

Gdy korzysta się z protokołu LDAP bez TLS, a następnie próbuje zsynchronizować użytkowników z usługi Active Directory za pomocą funkcji Active Directory Sync w usłudze Rublon Authentication Proxy, synchronizacja nie powodzi się, a w logach pojawia się następujący błąd:

2025-12-16 18:55:02,383 - ERROR   - Error occurred while synchronizing users. Error was: ConnectionError('Could not bind to the host: 10.22.10.47. Error was: ', {'result': 8, 'description': 'strongerAuthRequired', 'dn': '', 'message': '00002028: LdapErr: DSID-0C09035C, comment: The server requires binds to turn on integrity checking if SSL\\TLS are not already active on the connection, data 0, v65f4\x00', 'referrals': None, 'saslCreds': None, 'type': 'bindResponse'})

Powód

Windows Server 2025 wymusza opcję LDAP Signing domyślnie, nawet na porcie 389.

Rozwiązanie

Rekomendowanym rozwiązaniem jest przejście na protokół LDAPS, co jest również zalecane z powodów bezpieczeństwa.

Jeśli nie jest możliwe przejście na protokół LDAPS, rozwiązaniem problemu jest wyłączenie opcji LDAP Signing:

1. Wybierz Start → Uruchom, wpisz mmc.exe i wybierz OK.

2. Przejdź do Domyślne zasady kontrolera domeny (lub Zasady Komputer lokalny lub Domyślne zasady domeny, w zależności od konfiguracji) → Konfiguracja komputera → Ustawienia systemu Windows → Ustawienia zabezpieczeń → Zasady lokalne → Opcje zabezpieczeń.

3. Znajdź i ustaw:

• Kontroler domeny: wymagania dotyczące tokenu powiązania kanałów serwera LDAP: "Gdy jest obsługiwane"

• Kontroler domeny: wymagania podpisywania serwera LDAP: "Brak"

• Kontroler domeny: wymuszanie wymagań dotyczących podpisywania serwera LDAP: "Wyłączone"

• Zabezpieczenia sieci: wymagania dotyczące szyfrowania klienta LDAP: "Negocjuj zapieczętowanie"

• Zabezpieczenia sieci: wymagania podpisywania klienta LDAP: "Negocjuj zapieczętowanie"

Przydatne linki

Microsoft Learn - Issue with LDAP on Windows Server 2025

Microsoft Learn - How to configure the directory to require LDAP server signing for AD DS