您计划在所有域控制器上强制执行 LDAP 签名和 LDAP 通道绑定。在强制执行之前，您希望识别不兼容的客户端，但又不想破坏它们。您应该首先部署什么？（选择两项）

要识别不兼容的客户端而不破坏它们，应首先在域控制器上设置 LdapEnforceChannelBinding=1。此设置允许没有通道绑定令牌的绑定继续进行，但会在事件日志中记录相关信息，从而提供兼容性评估所需的数据。同时，将“LDAP Interface Events”诊断日志记录级别设置为 2，可以确保记录包含客户端详细信息的事件 2889。这些事件会显示哪些客户端正在尝试进行不符合要求的 LDAP 绑定，从而在强制执行之前提供关键的识别信息。 立即在默认域控制器策略中将“域控制器：LDAP 服务器签名要求”设置为“要求签名”会立即强制执行签名，这可能导致不兼容的客户端中断服务，不符合“不破坏它们”的要求。为整个域禁用 NTLM 与 LDAP 签名和通道绑定无关。仅监控安全日志事件 4624 不足以提供所需的 LDAP 签名和通道绑定详细信息，因为它主要记录登录事件，而非 LDAP 协议合规性。