L'inici de sessió a Squid funciona, però la regla de grup LDAP denega l'accés

Si l'inici de sessió funciona però la regla de grup denega la petició, seguiu la identitat fins a la consulta LDAP abans de canviar la contrasenya. L'autenticació, la troballa de l'objecte d'usuari i la coincidència de la pertinença al grup són tres resultats diferents.

1. Anoteu el nom autenticat: pot ser DOMAIN\alex, [email protected] o alex.
2. Reviseu el valor que es passa per %LOGIN de l'ACL externa i l'atribut d'usuari que cerca l'ajudant.
3. Compareu una identitat de prova autoritzada i una de no autoritzada: quin nom de consulta en va resultar, es va trobar l'usuari i va coincidir la pertinença?

Per a ext_ldap_group_acl, el -S documentat elimina un component de domini a l'estil NT, i -K elimina un component de regne Kerberos separat per @. Feu servir qualsevol dels dos només quan aquesta transformació encaixi amb el contracte del directori. Si dos dominis autoritatius contenen el mateix nom curt, treure el qualificador pot seleccionar la identitat equivocada.

Manteniu també correctes les substitucions dels filtres de l'ajudant. Els filtres de cerca d'usuaris i de grups tenen marcadors diferents; un filtre copiat d'un altre ajudant o versió pot cercar el valor equivocat encara que la connectivitat LDAP funcioni.

Trobeu el primer resultat que difereixi de la política i repareu aquest mapatge o cerca. Manteniu els secrets de bind i les contrasenyes d'usuari fora de la comparació. Un error de consulta de grup després d'un inici de sessió vàlid no obliga a canviar l'esquema d'autenticació del navegador.