Tengo una aplicación web alojada en una DMZ en un servidor que no es de dominio. La aplicación es principalmente un sitio de intranet, pero también debe estar disponible públicamente. La aplicación autentica a los usuarios mediante LDAP en el servidor de red interno. El servidor de AD que utiliza estará en una zona de seguridad segregada con solo el privilegio de red suficiente para permitirle comunicarse con los servidores de AD internos.
Mi problema es dar a la aplicación el privilegio suficiente para enlazar con LDAP sin negar por completo todos los beneficios de seguridad de aislarla y mantenerla fuera del dominio.
Opción 1: vincular el uso de algunas cuentas de AD con el menor privilegio posible, pero me exige que ingrese el nombre de usuario y la contraseña en el archivo de configuración de la aplicación. Todavía no estoy seguro de qué tan bajo puedo usar el privilegio mínimo para esta cuenta. Podría ser capaz de codificar alrededor del requisito de codificar las credenciales. Es solo que la versión MS de la implementación lo requiere.
Opción 2: active la consulta anónima para el servidor de dominio para que se puedan realizar consultas no autenticadas. Esto debería permitirme mantener la aplicación aislada, el servidor fuera del dominio, pero no estoy completamente consciente de los riesgos de permitir consultas anónimas.
Opción 3: ??
Me inclino hacia la consulta anónima. Si el servidor está comprometido, prefiero renunciar al acceso para consultar el AD en lugar de entregar una cuenta de usuario válida y la capacidad de consultar el dominio.
¿Hay alguna otra idea que me esté perdiendo aquí?