Windows Server n’arrive plus à établir de connexion LDAPS après un renouvellement de certificat

Question

Windows Server n’arrive plus à établir de connexion LDAPS après un renouvellement de certificat

Mashelle 20

Depuis le changement de certificat sur notre environnement Active Directory, certaines applications ne parviennent plus à établir de connexion LDAPS vers les Domain Controllers.

Je cherche à identifier précisément la cause du problème, notamment au niveau de la sélection du certificat par Schannel/LSASS, de l’accès à la clé privée par le compte système, de la validation de la chaîne de certification (CA trust) et de la connectivité LDAP over TLS sur le port 636.

Quels sont les contrôles que vous effectueriez en priorité pour diagnostiquer ce type de problème ? Je voudrais notamment savoir comment vérifier quel certificat est réellement présenté par le DC, confirmer que la chaîne de certificats est approuvée par les clients et isoler un éventuel problème de handshake TLS ou de configuration LDAPS.

Si vous avez des commandes PowerShell, des outils de diagnostic ou des Event IDs pertinents à consulter côté client et côté Domain Controller, je suis preneur.

0 commentaires

2 réponses

Votre réponse

Answer 1

Jason Nguyen Tran 30,345 Conseiller indépendant

Je me permets de revenir vers vous afin de savoir si le problème a été résolu. N'hésitez pas à répondre à ce message si vous avez besoin d'informations complémentaires. Si les informations fournies vous ont été utiles, merci de cliquer sur « Accept Answer » afin d'aider les autres membres de la communauté. Merci !

0 commentaires

Answer 2

Bonjour Mashelle,

Après le renouvellement d’un certificat, ma priorité serait de vérifier quel certificat le contrôleur de domaine présente réellement pour LDAPS et de confirmer que ce certificat contient l’EKU Server Authentication approprié, un nom Subject/SAN valide et une clé privée accessible. Je vérifierais également que le compte de service NTDS dispose des droits d’accès à la clé privée et que la chaîne complète de certificats (Root CA et Intermediate CA) est approuvée par les systèmes clients.

Sur le contrôleur de domaine, consultez les journaux d’événements Schannel et Directory Service, car ils révèlent souvent des problèmes d’association de certificat, des échecs de négociation TLS (handshake) ou des erreurs de validation du certificat. Pour tester la connectivité, des outils tels que LDP.exe, Test-NetConnection -Port 636 et un outil d’inspection des certificats TLS depuis un poste client permettent de confirmer que LDAPS est à l’écoute et d’identifier le certificat présenté. Si plusieurs certificats valides sont présents dans le magasin Local Computer\Personal, vérifiez également qu’Active Directory sélectionne bien le certificat attendu, et non un ancien certificat ou un certificat incomplet.

Côté client, je comparerais la chaîne de certificats présentée par le contrôleur de domaine avec les autorités de certification approuvées et rechercherais d’éventuelles erreurs de confiance, des incohérences de nom d’hôte ou des certificats révoqués. Dans de nombreux cas survenant après un renouvellement, la cause réelle est une chaîne de certificats incomplète ou des autorisations manquantes sur la clé privée, plutôt qu’un problème lié à LDAP lui-même. La corrélation des événements Schannel sur le contrôleur de domaine avec les tentatives de connexion des applications affectées permet généralement d’identifier rapidement la cause racine.

J’espère que ces informations vous aideront à mieux cerner le problème. Si cette réponse vous est utile, veuillez cliquer sur « Accept Answer » afin de confirmer qu’elle répond à votre question.

Jason