La réplication entre les contrôleurs de domaine se fera toujours sur RPC, même après l'installation des certificats SSL. La charge utile est cryptée, mais pas avec SSL.
Si vous utilisez la réplication SMTP, cette réplication peut être chiffrée avec le certificat SSL du contrôleur de domaine ... mais j'espère que personne n'utilise la réplication SMTP en 2017.
LDAPS est comme LDAP, mais sur SSL / TLS, en utilisant le certificat du contrôleur de domaine. Mais les membres de domaine Windows normaux ne commenceront pas automatiquement à utiliser LDAPS pour des choses comme DC Locator ou la jonction de domaine. Ils utiliseront toujours simplement cLDAP et LDAP.
L'une des principales façons dont nous utilisons LDAPS est pour les services tiers ou les systèmes non joints à un domaine qui nécessitent un moyen sécurisé d'interroger le contrôleur de domaine. Avec LDAPS, ces systèmes peuvent toujours bénéficier de communications chiffrées même s'ils ne sont pas joints au domaine. (Pensez aux concentrateurs VPN, routeurs Wifi, systèmes Linux, etc.)
Mais les clients Windows joints à un domaine ont déjà la signature et le scellage SASL et Kerberos, qui est déjà chiffré et assez sécurisé. Ils continueront donc à utiliser cela.
Les clients de carte à puce utilisent le certificat SSL du contrôleur de domaine lorsque la validation stricte KDC est activée. C'est juste une mesure de protection supplémentaire pour les clients de cartes à puce de pouvoir vérifier que le KDC auquel ils parlent est légitime.
Les contrôleurs de domaine peuvent également utiliser leurs certificats pour la communication IPsec, soit entre eux, soit avec les serveurs membres.
C'est tout ce à quoi je peux penser en ce moment.
