O inicio de sesión en Squid funciona, pero a regra de grupo LDAP denega o acceso

Comprobe o nome de usuario que recibe o axudante de grupos LDAP de Squid antes de cambiar contrasinais ou reescribir a pertenza aos grupos do directorio.

Se o inicio de sesión funciona pero a regra de grupo denega a petición, siga a identidade ata a consulta LDAP antes de cambiar o contrasinal. A autenticación, a busca do obxecto de usuario e a coincidencia da pertenza ao grupo son tres resultados distintos.

  1. Anote o nome autenticado: pode ser DOMAIN\alex, [email protected] ou alex.
  2. Revise o valor que se pasa mediante %LOGIN da ACL externa e o atributo de usuario que busca o axudante.
  3. Compare unha identidade de proba autorizada e outra non autorizada: que nome de busca resultou, atopouse o usuario e coincidiu a pertenza?

Para ext_ldap_group_acl, o -S documentado elimina un compoñente de dominio ao estilo NT, e -K elimina un compoñente de reino Kerberos separado por @. Use calquera dos dous só cando esa transformación encaixe co contrato do directorio. Se dous dominios autoritativos conteñen o mesmo nome curto, quitar o cualificador pode seleccionar a identidade equivocada.

Manteña tamén correctas as substitucións de filtro do axudante. Os filtros de busca de usuarios e de grupos teñen marcadores distintos; un filtro copiado doutro axudante ou versión pode buscar o valor equivocado aínda que a conectividade LDAP funcione.

Atope o primeiro resultado que difira da política e repare ese mapeamento ou busca. Manteña os segredos de vinculación e os contrasinais de usuario fóra da comparación. Un fallo de consulta de grupo tras un inicio de sesión válido non obriga a cambiar o esquema de autenticación do navegador.

Artigos relacionados