Squid-Anmeldung gelingt, doch die LDAP-Gruppenregel verweigert den Zugriff

Wenn die Anmeldung gelingt, die Gruppenregel die Anfrage aber ablehnt, verfolgen Sie die Identität bis in die LDAP-Suche, bevor Sie das Passwort ändern. Authentifizierung, das Auffinden des Benutzerobjekts und der Abgleich der Gruppenmitgliedschaft sind drei getrennte Ergebnisse.

1. Notieren Sie den authentifizierten Namen: Er kann DOMAIN\alex, [email protected] oder alex lauten.
2. Prüfen Sie den Wert, der über %LOGIN der externen ACL übergeben wird, und das Benutzerattribut, das der Helfer durchsucht.
3. Vergleichen Sie eine berechtigte und eine unberechtigte Testidentität: Welcher Suchname ergab sich, wurde der Benutzer gefunden, und stimmte die Mitgliedschaft überein?

Bei ext_ldap_group_acl entfernt das dokumentierte -S eine Domänenkomponente im NT-Stil, und -K entfernt eine durch @ getrennte Kerberos-Realm-Komponente. Verwenden Sie eines davon nur, wenn diese Umformung dem Vertrag des Verzeichnisses entspricht. Enthalten zwei autoritative Domänen denselben Kurznamen, kann das Entfernen des Qualifizierers die falsche Identität auswählen.

Halten Sie auch die Filterersetzungen des Helfers in Ordnung. Benutzer- und Gruppensuchfilter haben unterschiedliche Platzhalter; ein aus einem anderen Helfer oder Release kopierter Filter kann den falschen Wert suchen, selbst wenn die LDAP-Verbindung funktioniert.

Finden Sie das erste Ergebnis, das von der Richtlinie abweicht, und reparieren Sie diese Zuordnung oder Suche. Halten Sie Bind-Geheimnisse und Benutzerpasswörter aus dem Vergleich heraus. Ein Fehlschlag der Gruppensuche nach gültiger Anmeldung verlangt keine Änderung des Authentifizierungsschemas im Browser.