L'accesso a Squid riesce, ma la regola di gruppo LDAP nega l'accesso

Se l'accesso riesce ma la regola di gruppo rifiuta la richiesta, segui l'identità nella ricerca LDAP prima di cambiare la password. Autenticazione, ricerca dell'oggetto utente e corrispondenza dell'appartenenza al gruppo sono tre risultati distinti.

1. Annota il nome autenticato: può essere DOMAIN\alex, [email protected] o alex.
2. Controlla il valore passato tramite %LOGIN dell'ACL esterno e l'attributo utente che l'helper cerca.
3. Confronta un'identità di test autorizzata e una non autorizzata: quale nome di ricerca è risultato, l'utente è stato trovato e l'appartenenza corrispondeva?

Per ext_ldap_group_acl, il -S documentato rimuove un componente di dominio in stile NT, e -K rimuove un componente di realm Kerberos separato da @. Usa l'uno o l'altro solo quando quella trasformazione corrisponde al contratto della directory. Se due domini autorevoli contengono lo stesso nome breve, togliere il qualificatore può selezionare l'identità sbagliata.

Mantieni corretti anche le sostituzioni dei filtri dell'helper. I filtri di ricerca utenti e gruppi hanno segnaposto diversi; un filtro copiato da un altro helper o rilascio può cercare il valore sbagliato anche quando la connettività LDAP funziona.

Trova il primo risultato che diverge dalla politica e correggi quella mappatura o ricerca. Tieni i segreti di bind e le password utente fuori dal confronto. Un errore di ricerca del gruppo dopo un accesso valido non richiede di cambiare lo schema di autenticazione del browser.