Squid と LDAP ディレクトリ間での重複ユーザー名

2 つの独立したディレクトリの両方に alex が含まれている場合、プロキシはパスワードを確認する前にディレクトリを選択する必要があります。まず A を試し、次に B を試す方法では、その選択が認証失敗の中に隠れ、利用できないディレクトリと拒否された秘密を混同する恐れがあります。

ID を明示する方法は 2 つあります。

• 修飾ログイン。 [email protected] のような名前は、ディスパッチャを介して管理者が定義した固定のディレクトリを選択します。承認に使う修飾済みの ID とログはそのまま保持してください。クライアントが指定した接尾辞を任意の LDAP サーバーアドレスに変換してはいけません。
• 安定した信頼済みリクエストコンテキスト。 リスナーやその他のサポートされたコンテキストがディレクトリを選択します。利用者が移動したり別のリスナーを使ったりした場合の動作を定義してください。ネットワーク上の位置は個人の ID ではありません。

1 つのディレクトリのレプリカは別物です。これらは ID の名前空間を共有します。無関係なディレクトリは、どちらも LDAP を使うという理由でレプリカになるわけではありません。

Squid の資格情報キャッシュキーをヘルパーの選択と一致させます。auth_param のリファレンスは、追加のコンテキストを渡してキャッシュキーに含めるための key_extras を説明しており、待ち受けポートで区別される同名の場合も含みます。ヘルパーは拡張された入力を理解し、選択したマクロがその認証段階で利用可能でなければなりません。

安定したコンテキストを優先してください。頻繁に変わるクライアント IP はキャッシュの ID を増やし、単一のユーザー ID を前提とする制御を変化させます。

不明なディレクトリ、不明なアカウント、拒否されたパスワード、利用不可のディレクトリを別々に定義します。North が利用できないときに North のアカウントが黙って South の Alex になってはなりません。パスワードを記録せずに、これらの結果をログで区別できる状態に保ってください。