Mae mewngofnodi Squid yn llwyddo, ond mae rheol grŵp LDAP yn gwrthod mynediad

Gwiriwch yr enw defnyddiwr a roddir i gymorthydd grŵp LDAP Squid cyn newid cyfrineiriau neu ailysgrifennu aelodaeth grwpiau'r cyfeiriadur.

Os yw mewngofnodi yn llwyddo ond bod y rheol grŵp yn gwrthod y cais, dilynwch yr hunaniaeth i'r chwiliad LDAP cyn newid y cyfrinair. Mae dilysu, dod o hyd i'r gwrthrych defnyddiwr a chyfateb aelodaeth grŵp yn dri chanlyniad ar wahân.

  1. Cofnodwch yr enw dilysedig: gall fod yn DOMAIN\alex, [email protected] neu alex.
  2. Gwiriwch y gwerth a basiwyd drwy %LOGIN yr ACL allanol a'r priodwedd defnyddiwr y mae'r cymorthydd yn chwilio amdano.
  3. Cymharwch hunaniaeth brawf awdurdodedig ac un heb awdurdod: pa enw chwilio a ddeilliodd, a gafwyd hyd i'r defnyddiwr, ac a gydweddodd yr aelodaeth?

Ar gyfer ext_ldap_group_acl, mae -S dogfennedig yn tynnu cydran parth ar ddull NT, ac mae -K yn tynnu cydran realm Kerberos a wahanwyd gan @. Defnyddiwch y naill neu'r llall dim ond pan fo'r trawsffurfiad hwnnw'n cyd-fynd â chontract y cyfeiriadur. Os oes gan ddau barth awdurdodol yr un enw byr, gall tynnu'r cymhwysydd ddewis yr hunaniaeth anghywir.

Cadwch amnewidiadau hidlydd y cymorthydd yn gywir hefyd. Mae gan hidlyddion chwilio defnyddwyr a chwilio grwpiau ddeiliad lle gwahanol; gall hidlydd a gopïwyd o gymorthydd neu ryddhad arall chwilio am y gwerth anghywir hyd yn oed pan fo cysylltedd LDAP yn gweithio.

Dewch o hyd i'r canlyniad cyntaf sy'n gwyro oddi wrth y polisi a thrwsiwch y mapio neu'r chwiliad hwnnw. Cadwch gyfrinachau rhwymo a chyfrineiriau defnyddwyr allan o'r gymhariaeth. Nid yw methiant chwiliad grŵp ar ôl mewngofnodi dilys yn galw am newid cynllun dilysu'r porwr.

Erthyglau cysylltiedig