如果我只使用Kerberos进行身份validation，Active Directory使用的是LDAP吗？

不，你不应该。 LDAP是Active Directory中许多进程的基础。 例如：

• 在客户端上执行交互式login时，客户端执行一系列DNS查找以确定最佳域控制器，然后在tcp / 389上执行一系列testing。
• 使用tcp / 389上的LDAP将Active Directory架构下载到客户端。
• 组策略客户端使用LDAP来检索存储在Active Directory中的策略信息组件。
• 许多命令行工具和系统集成pipe理工具使用LDAP（Active Directory用户和计算机，Active Directory站点和服务等）。
• 一些其他的东西。

执行networking数据包捕获相当容易，以确认这一点。

这听起来像你可能会混淆NTLM和Kerberos。 可能可以使用Kerberos代替NTLM / 2，但是如果Kerberos身份validation不可行，则客户端将试图回退到NTLM / 2。

此外，如果在域控制器上安装了证书，则不能仅使用LDAPS tcp / 636来代替tcp / 389。 这不会提供任何有用的好处，因为LDAPS主要用于使用简单绑定（用户名+密码）进行身份validation的应用程序。