Squid-kirjautuminen onnistuu, mutta LDAP-ryhmäsääntö estää pääsyn

Tarkista käyttäjänimi, joka välitetään Squidin LDAP-ryhmäavustajalle, ennen kuin vaihdat salasanoja tai kirjoitat hakemiston ryhmäjäsenyydet uudelleen.

Jos kirjautuminen onnistuu mutta ryhmäsääntö hylkää pyynnön, seuraa identiteettiä LDAP-hakuun ennen salasanan vaihtamista. Todennus, käyttäjäobjektin löytäminen ja ryhmäjäsenyyden täsmääminen ovat kolme erillistä tulosta.

  1. Kirjaa todennettu nimi: se voi olla DOMAIN\alex, [email protected] tai alex.
  2. Tarkista arvo, joka välitetään ulkoisen ACL:n %LOGIN kautta, ja käyttäjäattribuutti, jota avustaja hakee.
  3. Vertaa valtuutettua ja valtuuttamatonta testi-identiteettiä: mikä hakunimi syntyi, löytyikö käyttäjä ja täsmäsikö jäsenyys?

ext_ldap_group_acl osalta dokumentoitu -S poistaa NT-tyylisen toimialuekomponentin ja -K poistaa @-merkillä erotetun Kerberos realm -komponentin. Käytä kumpaa tahansa vain, kun muunnos vastaa hakemiston sopimusta. Jos kahdella valtuutetulla toimialueella on sama lyhyt nimi, tarkenteen poistaminen voi valita väärän identiteetin.

Pidä myös avustajan suodatin korvaukset oikein. Käyttäjä- ja ryhmähaun suodattimilla on eri paikkamerkit; toisesta avustajasta tai versiosta kopioitu suodatin voi hakea väärää arvoa, vaikka LDAP-yhteys toimisi.

Etsi ensimmäinen käytännöstä poikkeava tulos ja korjaa kyseinen mappaus tai haku. Pidä bind-salaisuudet ja käyttäjien salasanat vertailun ulkopuolella. Ryhmähaun epäonnistuminen kelvollisen kirjautumisen jälkeen ei vaadi selaimen todennusmallin vaihtamista.

Aiheeseen liittyvät artikkelit