El inicio de sesión en Squid funciona, pero la regla de grupo LDAP deniega el acceso

Si el inicio de sesión funciona pero la regla de grupo deniega la petición, siga la identidad hasta la consulta LDAP antes de cambiar la contraseña. La autenticación, la búsqueda del objeto de usuario y la coincidencia de la pertenencia al grupo son tres resultados distintos.

1. Anote el nombre autenticado: puede ser DOMAIN\alex, [email protected] o alex.
2. Revise el valor que se pasa mediante %LOGIN de la ACL externa y el atributo de usuario que busca el ayudante.
3. Compare una identidad de prueba autorizada y otra no autorizada: qué nombre de búsqueda resultó, si se encontró el usuario y si coincidió la pertenencia.

Para ext_ldap_group_acl, el -S documentado elimina un componente de dominio al estilo NT, y -K elimina un componente de reino Kerberos separado por @. Use cualquiera de los dos solo cuando esa transformación encaje con el contrato del directorio. Si dos dominios autoritativos contienen el mismo nombre corto, quitar el calificador puede seleccionar la identidad equivocada.

Mantenga también correctas las sustituciones de filtro del ayudante. Los filtros de búsqueda de usuarios y de grupos tienen marcadores distintos; un filtro copiado de otro ayudante o versión puede buscar el valor equivocado aunque la conectividad LDAP funcione.

Encuentre el primer resultado que difiera de la política y repare esa asignación o búsqueda. Mantenga los secretos de enlace y las contraseñas de usuario fuera de la comparación. Un fallo de consulta de grupo tras un inicio de sesión válido no exige cambiar el esquema de autenticación del navegador.