Squid 로그인은 성공하지만 LDAP 그룹 규칙이 접근을 거부합니다
비밀번호를 바꾸거나 디렉터리의 그룹 구성원 정보를 다시 쓰기 전에 Squid의 LDAP 그룹 도우미로 전달되는 사용자 이름을 확인하세요.
로그인은 성공하는데 그룹 규칙이 요청을 거부한다면, 비밀번호를 바꾸기 전에 그 신원이 LDAP 조회에서 어떻게 처리되는지 따라가 보세요. 인증, 사용자 객체 찾기, 그룹 구성원 일치는 서로 다른 세 가지 결과입니다.
- 인증된 이름을 기록합니다.
DOMAIN\alex,[email protected]또는alex가 될 수 있습니다. - 외부 ACL의
%LOGIN로 전달되는 값과 도우미가 검색하는 사용자 속성을 확인합니다. - 허용된 테스트 신원과 허용되지 않은 테스트 신원을 비교합니다. 어떤 조회 이름이 되었는지, 사용자를 찾았는지, 구성원이 일치했는지 봅니다.
ext_ldap_group_acl 의 경우 문서화된 -S 는 NT 형식 도메인 구성 요소를 제거하고, -K 는 @ 로 구분된 Kerberos 영역 구성 요소를 제거합니다. 두 옵션 모두 그 변환이 디렉터리 계약과 맞을 때만 사용하세요. 권한 있는 두 도메인이 같은 짧은 이름을 가지면 한정자를 제거할 때 잘못된 신원을 고를 수 있습니다.
도우미의 필터 치환도 올바르게 유지하세요. 사용자 검색 필터와 그룹 검색 필터는 자리 표시자가 다릅니다. 다른 도우미나 릴리스에서 복사한 필터는 LDAP 연결이 동작해도 잘못된 값을 검색할 수 있습니다.
정책과 다른 첫 결과를 찾아 그 매핑이나 검색을 고칩니다. 바인드 암호와 사용자 비밀번호는 비교 대상에서 빼 두세요. 정상 로그인 뒤의 그룹 조회 실패 때문에 브라우저 인증 방식을 바꿀 필요는 없습니다.