Уваход у Squid паспяховы, але правіла групы LDAP адмаўляе доступ

Праверце імя карыстальніка, якое перадаецца памочніку груп LDAP Squid, перш чым мяняць паролі або перапісваць членства ў групах каталога.

Калі ўваход паспяховы, але правіла групы адмаўляе запыт, прасачыце ідэнтычнасць у пошуку LDAP, перш чым мяняць пароль. Аўтэнтыфікацыя, пошук аб'екта карыстальніка і супастаўленне членства ў групе — гэта тры асобныя вынікі.

  1. Запішыце аўтэнтыфікаванае імя: гэта можа быць DOMAIN\alex, [email protected] або alex.
  2. Праверце значэнне, перададзенае праз %LOGIN знешняга ACL, і атрыбут карыстальніка, які шукае памочнік.
  3. Параўнайце дазволеную і недазволеную тэставыя ідэнтычнасці: якое пошукавае імя атрымалася, ці знойдзены карыстальнік і ці супала членства?

Для ext_ldap_group_acl дакументаваны -S выдаляе кампанент дамена ў стылі NT, а -K выдаляе кампанент рэалму Kerberos, аддзелены @. Выкарыстоўвайце любы з іх толькі тады, калі гэтае пераўтварэнне адпавядае дагавору каталога. Калі два аўтарытэтныя дамены маюць адно і тое ж кароткае імя, выдаленне кваліфікатара можа выбраць няправільную ідэнтычнасць.

Трымайце правільнымі і падстаноўкі фільтраў памочніка. Фільтры пошуку карыстальнікаў і груп маюць розныя запаўняльнікі; фільтр, скапіяваны з іншага памочніка або выпуску, можа шукаць няправільнае значэнне, нават калі злучэнне LDAP працуе.

Знайдзіце першы вынік, які адрозніваецца ад палітыкі, і выпраўце гэтае супастаўленне або пошук. Трымайце сакрэты прывязкі і паролі карыстальнікаў па-за параўнаннем. Збой пошуку групы пасля слушнага ўваходу не патрабуе змены схемы аўтэнтыфікацыі браўзера.

Падобныя артыкулы