Влизането в Squid е успешно, но правилото за LDAP група отказва достъп

Ако влизането е успешно, но правилото за група отказва заявката, проследете самоличността до LDAP търсенето, преди да сменяте паролата. Удостоверяването, намирането на потребителския обект и съпоставянето на груповото членство са три отделни резултата.

1. Запишете удостовереното име: то може да е DOMAIN\alex, [email protected] или alex.
2. Проверете стойността, подавана през %LOGIN на външния ACL, и атрибута на потребителя, който помощникът търси.
3. Сравнете разрешена и неразрешена тестова самоличност: какво име за търсене се получи, намерен ли е потребителят и съвпадна ли членството?

За ext_ldap_group_acl документираният -S премахва домейн компонент в стил NT, а -K премахва компонент на Kerberos realm, отделен с @. Използвайте което и да е от двете само когато това преобразуване съответства на договора на директорията. Ако два авторитетни домейна съдържат едно и също кратко име, премахването на квалификатора може да избере грешната самоличност.

Пазете правилни и заместванията във филтрите на помощника. Филтрите за търсене на потребители и на групи имат различни заместители; филтър, копиран от друг помощник или издание, може да търси грешната стойност дори когато връзката с LDAP работи.

Намерете първия резултат, който се различава от политиката, и поправете това съпоставяне или търсене. Дръжте тайните за свързване и паролите на потребителите извън сравнението. Провал в търсенето на група след валидно влизане не изисква смяна на схемата за удостоверяване в браузъра.