Squid のログインは成功するが、LDAP グループ規則がアクセスを拒否する
パスワードを変更したりディレクトリのグループ メンバーシップを書き換えたりする前に、Squid の LDAP グループ ヘルパーに渡されるユーザー名を確認してください。
ログインは成功するのにグループ規則が要求を拒否する場合は、パスワードを変更する前に、その ID が LDAP 検索でどう扱われているかを追跡してください。認証、ユーザー オブジェクトの発見、グループ メンバーシップの照合は、それぞれ別の結果です。
- 認証された名前を記録します。
DOMAIN\alex、[email protected]、alexのいずれかになります。 - 外部 ACL の
%LOGINで渡される値と、ヘルパーが検索するユーザー属性を確認します。 - 許可されたテスト ID と許可されていないテスト ID を比較します。どの検索名になったか、ユーザーが見つかったか、メンバーシップが一致したかを見ます。
ext_ldap_group_acl では、文書化されている -S が NT 形式のドメイン構成要素を削除し、-K が @ で区切られた Kerberos レルム構成要素を削除します。どちらも、その変換がディレクトリの契約に合う場合にだけ使ってください。権威のある 2 つのドメインが同じ短い名前を持つ場合、修飾子を削ると誤った ID を選ぶことがあります。
ヘルパーのフィルター置換も正しく保ちます。ユーザー検索とグループ検索のフィルターではプレースホルダーが異なります。別のヘルパーやリリースからコピーしたフィルターは、LDAP 接続が機能していても誤った値を検索することがあります。
ポリシーと異なる最初の結果を見つけ、そのマッピングまたは検索を修正します。バインド シークレットとユーザー パスワードは比較に含めないでください。正しいログインの後にグループ検索が失敗しても、ブラウザーの認証方式を変える必要はありません。