Squid-login lykkes, men LDAP-grupperegelen nægter adgang

Hvis login lykkes, men grupperegelen afviser anmodningen, skal du følge identiteten ind i LDAP-opslaget, før du ændrer adgangskoden. Godkendelse, fund af brugerobjektet og matchning af gruppemedlemskab er tre separate resultater.

1. Notér det godkendte navn: det kan være DOMAIN\alex, [email protected] eller alex.
2. Kontroller værdien, der sendes gennem den eksterne ACL's %LOGIN, og den brugerattribut, hjælperen søger i.
3. Sammenlign en autoriseret og en ikke-autoriseret testidentitet: hvilket opslagsnavn blev resultatet, blev brugeren fundet, og passede medlemskabet?

For ext_ldap_group_acl fjerner det dokumenterede -S en domænekomponent i NT-stil, og -K fjerner en Kerberos-realmkomponent adskilt af @. Brug kun en af dem, når den transformation passer til katalogets kontrakt. Hvis to autoritative domæner har samme korte navn, kan fjernelse af kvalifikatoren vælge den forkerte identitet.

Hold også hjælperens filtersubstitutioner styr på. Bruger- og gruppesøgningsfiltre har forskellige pladsholdere; et filter kopieret fra en anden hjælper eller version kan søge efter den forkerte værdi, selv når LDAP-forbindelsen virker.

Find det første resultat, der afviger fra politikken, og ret den mapping eller søgning. Hold bind-hemmeligheder og brugeradgangskoder ude af sammenligningen. En gruppeopslagsfejl efter et gyldigt login kræver ikke ændring af browserens godkendelsesskema.