none
AD上の「Schannel」イベントID:36886のメッセージについて RRS feed

  • 質問

  • いつもお世話になっております。

    現在下記の環境にて警告のメッセージが頻発しております。(数秒間隔)

    当方がはじめから関わっておりませんでしたが前任者いわく、前はここまでの感覚での

    警告メッセージが発生していなかったとのこと。

    【要望事項】

    問題の改善及び、何を契機に当該メッセージが出力されるかについての確認

    【環境】

    OS:Windows Server 2012 R2

    ※Active Directoryサーバ

    【メッセージ】

    このシステムに適切な既定のサーバー資格情報がありません。システムの既定の資格情報を使用しようとしているサーバー アプリケーションは SSL で接続できません。そのようなアプリケーションの例はディレクトリ サーバーです。インターネット インフォメーション サーバーのように自身で資格情報を管理するアプリケーションには影響ありません。

    【質問事項】

    過去ナレッジにおいてAD CS機能の追加によって現象が改善されるという記事を拝見しました。

    確かに当該ADサーバはAD CS機能は追加しておりません。

    ただ、過去事例では数日に1度ペースですが、当方の環境では数秒単位で大量にイベントログに出力されている状況となります。

    イベントID:36886の出力契機はどのタイミングなのでしょうか。

    また以前は頻発していなかったものがある契機によって頻発するということはありえるのでしょうか。

    以上、よろしくお願いいたします。

    ※参考資料

    https://partnersupport.microsoft.com/ja-jp/par_servplat/forum/par_winserv/%E3%82%BD%E3%83%BC%E3%82%B9schannel%E3%82%A4/3a129de1-68d9-4047-bcb1-042ba06ae25e?auth=1

    2018年4月19日 5:03

回答

  • チャブーンです。

    この件ですが、ものすごく簡単ないいかたをすると、(ドメインコントローラーの)LDAPに接続する際の暗号化考慮のない状態で使っていますよ、という警告メッセージです。

    Activce Directory LDAPにはKerberos認証による接続のほか、「LDAP認証」により接続することが可能です。これはLDAPの仕様上必要なことなのですが、この際アカウント名とパスワードは平文(非暗号)でネットワークを流れます。

    Activce Directoryの認証ではLDAP認証による接続は行っていないので心配ありませんが、サードパーティやLinux OS、自製のソフトウェアでLDAP認証を行っている場合、この状態はセキュリティ上危険です。ドメインコントローラー上で「ドメインコントローラーのFQDN名」によるサーバー証明書を用意することで、LDAP接続の暗号化(LDAPS)を実施することができます。これを奨める警告メッセージと理解しています。

    ですからこのメッセージが出るのは「LDAP認証」でドメインコントローラーに接続しようとするプログラムやサーバー(ネットワーク機器等も含みます)がある場合がほとんどだと思います。頻繁にメッセージが出る場合、外部から何かが定期的に接続に来ている可能性がありますので、「ネットワークトレース」を取得して、メッセージ記録時間に合わせてLDAP接続を行ってくるIPアドレスを調べると、糸口になるかと思います。


    フォーラムは有償サポートとは異なる「コミュニティ」です。フォーラムでご質問頂くにあたっての注意点 をご一読のうえ、お楽しみください。



    2018年4月22日 8:27
    モデレータ