Squidi sisselogimine õnnestub, kuid LDAP-i grupi reegel keeldub juurdepääsust

Kontrollige kasutajanime, mis antakse Squidi LDAP-i grupiaitajale, enne paroolide muutmist või kataloogi grupiliikmelisuse ümberkirjutamist.

Kui sisselogimine õnnestub, kuid grupi reegel keeldub päringust, jälgige identiteeti LDAP-i otsingusse enne parooli muutmist. Autentimine, kasutajaobjekti leidmine ja grupiliikmelisuse sobitamine on kolm eraldi tulemust.

  1. Kirjutage autenditud nimi üles: see võib olla DOMAIN\alex, [email protected] või alex.
  2. Kontrollige väärtust, mis edastatakse välise ACL-i %LOGIN kaudu, ja kasutaja atribuuti, mida aitaja otsib.
  3. Võrrelge volitatud ja volitamata testidentiteeti: milline otsingunimi saadi, kas kasutaja leiti ja kas liikmelisus sobis?

ext_ldap_group_acl puhul eemaldab dokumenteeritud -S NT-stiilis domeenikomponendi ja -K eemaldab @-ga eraldatud Kerberose realm-komponendi. Kasutage kumbagi neist ainult siis, kui see teisendus vastab kataloogi lepingule. Kui kahel volitatud domeenil on sama lühinimi, võib kvalifikaatori eemaldamine valida vale identiteedi.

Hoidke korras ka aitaja filtrite asendused. Kasutaja- ja grupiotsingu filtritel on erinevad kohatäited; teisest aitajast või väljaandest kopeeritud filter võib otsida vale väärtust ka siis, kui LDAP-ühendus töötab.

Leidke esimene tulemus, mis erineb poliitikast, ja parandage see vastendus või otsing. Hoidke sidumissaladused ja kasutajaparoolid võrdlusest väljas. Grupiotsingu ebaõnnestumine pärast kehtivat sisselogimist ei nõua brauseri autentimisskeemi muutmist.

Seotud artiklid