Squid մուտքը հաջողվում է, սակայն LDAP խմբի կանոնը մերժում է մուտքը
Ստուգեք Squid-ի LDAP խմբի օժանդակին փոխանցվող օգտանունը՝ նախքան գաղտնաբառերը փոխելը կամ գրացուցակի խմբային անդամակցությունը վերաշարադրելը։
Եթե մուտքը հաջողվում է, բայց խմբի կանոնը մերժում է հարցումը, հետևեք ինքնությանը LDAP որոնման մեջ՝ նախքան գաղտնաբառը փոխելը։ Նույնականացումը, օգտվողի օբյեկտի գտնելը և խմբային անդամակցության համընկնումը երեք առանձին արդյունք են։
- Գրանցեք նույնականացված անունը՝ այն կարող է լինել
DOMAIN\alex,[email protected]կամalex։ - Ստուգեք արտաքին ACL-ի
%LOGIN-ով փոխանցվող արժեքը և օգտվողի այն հատկանիշը, որը որոնում է օժանդակը։ - Համեմատեք թույլատրված և չթույլատրված փորձնական ինքնություններ՝ ինչ որոնման անուն ստացվեց, գտնվե՞ց օգտվողը, համընկա՞վ անդամակցությունը։
ext_ldap_group_acl-ի համար փաստաթղթավորված -S-ը հեռացնում է NT ոճի դոմենի բաղադրիչ, իսկ -K-ը՝ @-ով բաժանված Kerberos realm-ի բաղադրիչ։ Դրանցից որևէ մեկը կիրառեք միայն այն դեպքում, երբ այդ փոխակերպումը համապատասխանում է գրացուցակի պայմանագրին։ Եթե երկու լիազոր դոմեններ ունեն նույն կարճ անունը, որակիչի հեռացումը կարող է ընտրել սխալ ինքնություն։
Ճիշտ պահեք նաև օժանդակի ֆիլտրերի փոխարինումները։ Օգտվողների և խմբերի որոնման ֆիլտրերն ունեն տարբեր տեղապահեր. այլ օժանդակից կամ թողարկումից պատճենված ֆիլտրը կարող է սխալ արժեք որոնել նույնիսկ երբ LDAP կապը աշխատում է։
Գտեք քաղաքականությունից տարբերվող առաջին արդյունքը և ուղղեք այդ քարտեզագրումը կամ որոնումը։ Bind գաղտնիքներն ու օգտվողների գաղտնաբառերը պահեք համեմատությունից դուրս։ Վավեր մուտքից հետո խմբի որոնման ձախողումը չի պահանջում փոխել դիտարկիչի նույնականացման սխեման։