如何为Active Directory设置SSL？

您正在寻求让您的DC通过LDAPS支持BIND。 为此，您需要将证书添加到您的域控制器的个人证书存储中，以符合以下要求。 该证书可以来自当地的证书颁发机构或第三方机构。

• LDAPS证书位于本地计算机的个人证书存储区（编程方式称为计算机的“我的证书存储区”）。
• 本地计算机存储中存在与证书相匹配的私钥，并且与证书正确关联。
• 私钥不能有强私钥保护启用。
• 增强型密钥使用扩展包括服务器身份validation（1.3.6.1.5.5.7.3.1）对象标识符（也称为OID）。
• 域控制器的Active Directory完全限定的域名（例如DC01.DOMAIN.COM）必须出现在以下位置之一：“主题”字段中的“通用名称”（CN）。 “主题备用名称”扩展名中的DNS条目。
• 证书由域控制器和LDAPS客户端信任的CA颁发。 通过将客户端和服务器configuration为信任颁发CA链接的根CA来build立信任。
• 您必须使用Schannelencryption服务提供程序（CSP）来生成密钥。

以上内容取自KB321051： 如何使用第三方证书颁发机构启用LDAP over SSL 。

有关如何设置本地CA以使用LDAPS的其他信息，请参见下面的文章： LDAP over SSL（LDAPS）证书

一旦您的DC安装了正确的证书，LDAPS通信应自动启用。 您可以使用ldp.exe来validation这一点，就像您正在尝试的那样。