php2shellのパッチをダウンロードするためにONTAPのダウンロードページにアクセスしたら、phpに関する警告の他に、下記の警告も出ていた
AD-LDAP Authentication Errors After Microsoft October 2026 DC Patch UpdatesSU628 for more details.
Active DirectoryサーバをLDAPサーバとして利用している場合、2026年10月のWindows Updateにより、平文のLDAPアクセスが禁止され、署名ありのLDAPアクセスもしくはLDAPSアクセスが必須となる、という話だった
具体的なWindows Server側のパッチKB5126646 KB5126655 KB5126651 KB5126868
基本的に、Windows Server側に適用されたセキュリティ強化設定を解除することはできない
Windows Server側のLDAP接続に関するドキュメント「Active Directory Domain ServicesのLDAPチャネルバインディング概要 」と「Active Directory Domain Services における LDAP 署名の概要 」
NetApp側のドキュメント「2026年10月 ドメイン コントローラ更新後のLDAP無効な認証情報 FAQ 」(英語版 )
まずはLDAPSでアクセスするための「Active Directory Domain Services で SSL 経由で LDAP の証明書を構成する 」で、署名などで使用する証明書を用意する
この設定については過去に「Windows Server 2025で作ったActive Directory環境でldapsを使えるようにする 」でRHEL からopensslコマンドとldapsearchコマンドを使って確認する方法と共に記載している
次に「Active Directory Domain Services のグループポリシーを使ってLDAP署名を設定する 」でクライアントからのアクセス時にLDAP署名を強制する設定を行う、と
クライアントからアクセスする時に確認するべき点のメモ
アクセステスト内容 署名不要のDC 署名必須のDC LDAP(389) + Simple bind 成功 失敗（Strong Auth Required / LDAPエラー8） LDAP(389) + SASL（署名） 成功 成功 LDAPS(636）+ Simple bind 証明書があれば成功 証明書があれば成功
ldapsearch コマンドで挙動を確認する手法のメモ
① 署名必須かどうか（LDAP+Simple bind）
確認コマンド
ldapsearch -x -H ldap://dc01.example.local \
-D "user@example.local" -W \
-b "dc=example,dc=local" -s base "(objectClass=*)" dn
署名必須の場合、下記の様なエラー
ldap_bind: Strong(er) authentication required (8)
additional info: 00002028: LdapErr: DSID-0C09xxxx, The server requires binds to turn on integrity checking if SSL\TLS are not already active on the connection
② LDAP+SASL（Kerberos）＋署名での接続
確認コマンド
kinit user@EXAMPLE.LOCAL
ldapsearch -Y GSSAPI -H ldap://dc01.example.local -b "dc=example,dc=local" -s base dn
# 署名なしを強制して失敗するか確認（失敗すれば署名必須）
ldapsearch -Y GSSAPI -O "minssf=0,maxssf=0" -H ldap://dc01.example.local -b "dc=example,dc=local" -s base dn
③ LDAPSでのテスト
確認コマンド
# 証明書・TLSバージョンの確認
openssl s_client -connect dc01.example.local:636 -showcerts </dev/null
# LDAPSでbind
LDAPTLS_CACERT=/path/to/ca.pem \
ldapsearch -x -H ldaps://dc01.example.local \
-D "user@example.local" -W -b "dc=example,dc=local" -s base dn
# StartTLS（389）
ldapsearch -x -ZZ -H ldap://dc01.example.local -D "user@example.local" -W -b "dc=example,dc=local" -s base dn
自己署名環境の場合、「LDAPTLS_REQCERT=never」を設定することで証明書検証を省略できる
LDAPS上でGSSAPIを使う場合、ADはTLS上のsign/sealを拒否するため「-O maxssf=0」オプションの追加、もしくは ldap.conf に「SASL_SECPROPS maxssf=0」を設定する
Windows環境で確認するためのメモ
PowerShellの場合
Add-Type -AssemblyName System.DirectoryServices.Protocols
$cred = Get-Credential # user@example.local
# 389 + Simple bind（署名必須なら例外）
$c = New-Object System.DirectoryServices.Protocols.LdapConnection("dc01.example.local:389")
$c.SessionOptions.ProtocolVersion = 3
$c.AuthType = [System.DirectoryServices.Protocols.AuthType]::Basic
try { $c.Bind($cred.GetNetworkCredential()); "389 Simple bind: 成功（署名不要）" }
catch { "389 Simple bind: 失敗 -> $($_.Exception.InnerException.Message)" }
# 636 LDAPS
$s = New-Object System.DirectoryServices.Protocols.LdapConnection("dc01.example.local:636")
$s.SessionOptions.ProtocolVersion = 3
$s.SessionOptions.SecureSocketLayer = $true
$s.AuthType = [System.DirectoryServices.Protocols.AuthType]::Basic
try { $s.Bind($cred.GetNetworkCredential()); "LDAPS: 成功" }
catch { "LDAPS: 失敗 -> $($_.Exception.InnerException.Message)" }
Test-NetConnection dc01 -Port 636 はTCP疎通しか見ないため、TLSが成立するかの確認には上記のbindテストを使う
また、クライアント側でレジストリが設定されているか確認
Get-ItemProperty HKLM:\SYSTEM\CurrentControlSet\Services\LDAP -Name LDAPClientIntegrity
# 0=なし, 1=ネゴシエート(既定), 2=必須
Active Directoryサーバ側で確認する手法
レジストリ「HKLM\SYSTEM\CurrentControlSet\Services\NTDS\Parameters」を確認
LDAPServerIntegrity が「1」は署名無し、「2」は署名必須
LdapEnforceChannelBinding が「0」無効、「1」サポートしてるなら使う、「2」必須
GPOでの設定項目「ドメイン コントローラー: LDAP サーバー署名必須」
イベントログでの確認
Directory Serviceのイベントログに出てくるイベントID
2886/2887：署名なしbindの存在・件数の警告
2889：署名なしbindを行ったクライアントIPとアカウント（「16 LDAP Interface Events」の診断ログを2に設定して出力）
3039～3041：チャネルバインディング関連
