Přihlášení do Squidu projde, ale pravidlo skupiny LDAP přístup odmítne

Než změníte hesla nebo přepíšete členství ve skupinách adresáře, zkontrolujte uživatelské jméno předávané LDAP pomocníkovi skupin Squidu.

Pokud přihlášení projde, ale pravidlo skupiny požadavek odmítne, sledujte identitu do vyhledání v LDAP dřív, než změníte heslo. Ověření, nalezení objektu uživatele a shoda členství ve skupině jsou tři oddělené výsledky.

  1. Zapište ověřené jméno: může to být DOMAIN\alex, [email protected] nebo alex.
  2. Zkontrolujte hodnotu předávanou přes %LOGIN externí ACL a atribut uživatele, který pomocník prohledává.
  3. Porovnejte povolenou a nepovolenou testovací identitu: jaké jméno pro vyhledání vzniklo, byl uživatel nalezen a sedělo členství?

U ext_ldap_group_acl dokumentovaný -S odstraňuje doménovou komponentu ve stylu NT a -K odstraňuje komponentu Kerberos realm oddělenou znakem @. Použijte kteroukoli z nich jen tehdy, když tato transformace odpovídá smlouvě adresáře. Pokud dvě autoritativní domény mají stejné krátké jméno, odstranění kvalifikátoru může vybrat špatnou identitu.

Udržujte správné i záměny ve filtrech pomocníka. Filtry hledání uživatelů a skupin mají různé zástupné symboly; filtr zkopírovaný z jiného pomocníka nebo verze může hledat špatnou hodnotu, i když LDAP spojení funguje.

Najděte první výsledek odlišný od zásady a opravte toto mapování nebo hledání. Držte tajemství pro připojení a uživatelská hesla mimo porovnání. Selhání hledání skupiny po platném přihlášení nevyžaduje změnu schématu ověřování v prohlížeči.

Související články