Prijava na Squid uspijeva, ali LDAP pravilo grupe odbija pristup

Provjerite korisničko ime koje se predaje Squidovu LDAP pomoćniku za grupe prije promjene lozinki ili prepisivanja članstva u grupama imenika.

Ako prijava uspije, ali pravilo grupe odbije zahtjev, slijedite identitet do LDAP pretrage prije promjene lozinke. Autentifikacija, pronalaženje korisničkog objekta i podudaranje članstva u grupi tri su odvojena rezultata.

  1. Zabilježite autentificirano ime: ono može biti DOMAIN\alex, [email protected] ili alex.
  2. Provjerite vrijednost koja se prosljeđuje kroz %LOGIN vanjskog ACL-a i atribut korisnika koji pomoćnik pretražuje.
  3. Usporedite ovlašteni i neovlašteni probni identitet: koje je ime pretrage dobiveno, je li korisnik pronađen i je li se članstvo podudarilo?

Za ext_ldap_group_acl dokumentirani -S uklanja komponentu domene u NT stilu, a -K uklanja komponentu Kerberos realm-a odvojenu znakom @. Rabite bilo koju od njih samo kada ta transformacija odgovara ugovoru imenika. Ako dva autoritativna domene imaju isto kratko ime, uklanjanje kvalifikatora može odabrati pogrešan identitet.

Održavajte ispravnima i zamjene filtara pomoćnika. Filtri pretrage korisnika i grupa imaju različite rezervirane znakove; filtar kopiran iz drugog pomoćnika ili izdanja može tražiti pogrešnu vrijednost čak i kad LDAP veza radi.

Pronađite prvi rezultat koji odstupa od politike i popravite to mapiranje ili pretragu. Držite tajne vezivanja i korisničke lozinke izvan usporedbe. Neuspjeh pretrage grupe nakon valjane prijave ne zahtijeva promjenu sheme autentifikacije u pregledniku.

Povezani članci