연결 보호와 사용자의 접근 권한을 나눕니다

LDAPS와 LDAP StartTLS는 LDAP 통신의 보호 경로에 관계합니다. 연결의 암호화와 로그인한 사용자가 특정 객체를 읽을 권한은 별도 조건입니다.

신뢰할 서버 이름과 인증 기관 및 연결 보호가 필수인지 기록합니다. 보호에 실패했을 때 평문으로 우회하는 설정이 필요한 정책을 무너뜨리지 않는지 확인해야 합니다.

처음부터 보호하는 경로와 전환 경로를 구분합니다

연결 시작부터 TLS를 사용하는 방식과 응용 연결에서 TLS로 전환하는 방식은 협상 단계가 다릅니다. STARTTLS의 명령과 전환 이후 상태 처리는 SMTP와 LDAP에서 각각 정의합니다.

TLS 전환 지원과 실제 성공을 별도로 확인해야 합니다. 한 응용 프로토콜의 설정을 같은 이름의 다른 프로토콜에 그대로 적용해서는 안 됩니다.

SASL은 응용 프로토콜이 인증 메커니즘을 이용하도록 하는 프레임워크이고 GSS-API는 보안 문맥과 토큰 및 메시지 보호를 이용하는 인터페이스입니다. 둘 다 TLS나 Kerberos의 단순 별칭은 아닙니다.

실제 선택된 인증 메커니즘과 자격 정보 및 요구하는 보안 속성을 기록합니다. 지원 가능한 이름 목록과 연결에서 실제 협상된 방식을 혼동하지 않아야 합니다.

PEAP는 TLS 터널 안에서 EAP 인증을 수행하는 방식이며 LDAP 디렉터리 접속 방식과 같지 않습니다. PEAP와 EAP-TLS 및 EAP-TTLS의 외부 보호와 내부 인증을 구분합니다.

서버 인증서 검증과 내부 인증 방식 및 계정 정책을 함께 확인합니다. 인증서 경고를 없애려고 검증을 끄면 잘못된 인증 서버를 구분하는 보호를 잃을 수 있습니다.