U bent van plan om LDAP signing en LDAP channel binding af te dwingen op alle domeincontrollers. Voordat u dit afdwingt, wilt u incompatibele clients identificeren zonder deze te breken. Wat moet u eerst implementeren? (Kies twee)

Om incompatibele clients te identificeren zonder de functionaliteit te verstoren, moet u eerst een auditmodus inschakelen. Het instellen van LdapEnforceChannelBinding=1 (auditmodus) op domeincontrollers zorgt ervoor dat binds zonder channel binding tokens worden toegestaan, maar dat er wel een logboekvermelding wordt gemaakt. Dit voorkomt dat clients onmiddellijk falen. Tegelijkertijd is het inschakelen van diagnostische logboekregistratie voor 'LDAP Interface Events' op niveau 2 cruciaal. Dit zorgt ervoor dat Event ID 2889 wordt gelogd, wat gedetailleerde informatie bevat over clients die geen LDAP signing of channel binding gebruiken. Deze twee stappen samen bieden de nodige informatie om incompatibele clients te identificeren voordat u de strikte handhaving implementeert. Het onmiddellijk instellen van 'Domain controller: LDAP server signing requirements' op 'Require signing' zou incompatibele clients direct breken, wat in strijd is met de vraag. Het uitschakelen van NTLM is niet direct gerelateerd aan het afdwingen van LDAP signing en channel binding en zou andere authenticatieproblemen veroorzaken. Het monitoren van alleen Security log event 4624 is onvoldoende, omdat dit gebeurtenis-ID geen specifieke details over LDAP signing of channel binding per client bevat.