Squid-aanmelding slaag, maar die LDAP-groepreël weier toegang

Kontroleer die gebruikersnaam wat aan Squid se LDAP-groephulp gegee word voordat jy wagwoorde verander of die gids se groepnavorsing herskryf.

As die aanmelding slaag maar die groepreël die versoek weier, volg die identiteit tot in die LDAP-soektog voordat jy die wagwoord verander. Verifikasie, die vind van die gebruikersobjek en die passing van groepnavorsing is drie afsonderlike resultate.

  1. Teken die geoutentiseerde naam aan: dit kan DOMAIN\alex, [email protected] of alex wees.
  2. Kontroleer die waarde wat deur die eksterne ACL se %LOGIN gestuur word en die gebruikersattribuut wat die hulp deursoek.
  3. Vergelyk 'n gemagtigde en 'n ongemagtigde toetsidentiteit: watter soeknaam het ontstaan, is die gebruiker gevind en het die lidmaatskap ooreengestem?

Vir ext_ldap_group_acl verwyder die gedokumenteerde -S 'n NT-styl domeinkomponent en -K verwyder 'n @-geskeide Kerberos-realmkomponent. Gebruik een van die twee net wanneer daardie transformasie by die gids se kontrak pas. As twee gesaghebbende domeine dieselfde kort naam bevat, kan die verwydering van die kwalifiseerder die verkeerde identiteit kies.

Hou ook die hulp se filtervervangings reg. Gebruiker- en groepsoekfilters het verskillende plekhouers; 'n filter wat van 'n ander hulp of weergawe gekopieer is, kan die verkeerde waarde soek selfs wanneer LDAP-verbinding werk.

Vind die eerste resultaat wat van die beleid verskil en herstel daardie koppeling of soektog. Hou bindgeheime en gebruikerswagwoorde uit die vergelyking. 'n Groepsoekfout ná 'n geldige aanmelding is geen rede om die blaaier se verifikasieskema te verander nie.

Verwante artikels