ورود به Squid موفق است، اما قاعده گروه LDAP دسترسی را رد می‌کند
پیش از تغییر گذرواژه‌ها یا بازنویسی عضویت گروهی در دایرکتوری، نام کاربری‌ای را که به کمک‌کننده گروه LDAP اسکویید داده می‌شود بررسی کنید.
اگر ورود موفق باشد اما قاعده گروه درخواست را رد کند، پیش از تغییر گذرواژه، هویت را تا جست‌وجوی LDAP دنبال کنید. احراز هویت، یافتن شیء کاربر و تطبیق عضویت گروه سه نتیجه جداگانه‌اند.
- نام احرازشده را ثبت کنید: می‌تواند
DOMAIN\alex،[email protected]یاalexباشد. - مقداری را که از
%LOGINدر ACL بیرونی عبور می‌کند و ویژگی کاربری که کمک‌کننده جست‌وجو می‌کند بررسی کنید. - یک هویت آزمایشی مجاز و یک هویت غیرمجاز را مقایسه کنید: چه نام جست‌وجویی حاصل شد، آیا کاربر یافت شد و آیا عضویت مطابقت داشت؟
برای ext_ldap_group_acl، -S مستندشده یک جزء دامنه به سبک NT را حذف می‌کند و -K یک جزء قلمرو Kerberos جداشده با @ را برمی‌دارد. هر یک را تنها زمانی به کار ببرید که این تبدیل با قرارداد دایرکتوری سازگار باشد. اگر دو دامنه معتبر نام کوتاه یکسانی داشته باشند، حذف مشخص‌کننده می‌تواند هویت نادرست را انتخاب کند.
جانشینی‌های فیلتر کمک‌کننده را هم درست نگه دارید. فیلترهای جست‌وجوی کاربر و جست‌وجوی گروه جای‌نگهدارهای متفاوتی دارند؛ فیلتری که از کمک‌کننده یا نسخه دیگری کپی شده باشد می‌تواند حتی وقتی اتصال LDAP کار می‌کند مقدار نادرست را جست‌وجو کند.
نخستین نتیجه‌ای را که با سیاست تفاوت دارد بیابید و همان نگاشت یا جست‌وجو را اصلاح کنید. رازهای اتصال و گذرواژه‌های کاربران را بیرون از مقایسه نگه دارید. شکست جست‌وجوی گروه پس از یک ورود معتبر به تغییر طرح احراز هویت مرورگر نیاز ندارد.