Squid ir pasikartojantys naudotojų vardai LDAP kataloguose
Kartu projektuokite katalogo pasirinkimą ir Squid autentifikavimo podėlį, kai nepriklausomi LDAP katalogai turi tą patį trumpą naudotojo vardą.
Jei du nepriklausomi katalogai abu turi alex, tarpiniam serveriui prieš tikrinant slaptažodį reikia katalogo pasirinkimo. Bandymas pirmiausia A, paskui B paslepia šį pasirinkimą autentifikavimo klaidoje ir gali supainioti nepasiekiamą katalogą su atmestu slaptuoju duomeniu.
Du išdėstymai gali padaryti tapatybę aiškią:
- Kvalifikuotas prisijungimas. Vardas kaip
[email protected]per siuntiklį parenka fiksuotą administratoriaus apibrėžtą katalogą. Išsaugokite kvalifikuotą tapatybę įgaliojimui ir žurnalams. Nevarkite kliento pateiktos priesagos savavališku LDAP serverio adresu. - Stabilus patikimas užklausos kontekstas. Katalogą parenka klausytojas arba kitas palaikomas kontekstas. Apibrėžkite, kas nutinka, kai žmogus juda arba naudoja kitą klausytoją; tinklo vieta nėra asmeninė tapatybė.
Vieno katalogo replikos skiriasi: jos dalijasi tapatybės vardų erdve. Nesusiję katalogai netampa replikomis todėl, kad abu naudoja LDAP.
Suderinkite Squid prisijungimo duomenų podėlio raktą su pagalbinės programos pasirinkimu. Nuoroda auth_param aprašo key_extras, skirtą perduoti papildomą kontekstą ir įtraukti jį į podėlio raktą, įskaitant atvejį, kai identiški vardai atskiriami klausymosi prievadu. Pagalbinė programa turi suprasti išplėstą įvestį, o pasirinktas makrokomandas turi būti prieinamas tame autentifikavimo etape.
Teikite pirmenybę stabiliam kontekstui. Dažnai besikeičiantis kliento IP gali padauginti podėlio tapatybes ir pakeisti valdiklius, kurie tikisi vienos naudotojo tapatybės.
Atskirai apibrėžkite nežinomą katalogą, nežinomą paskyrą, atmestą slaptažodį ir nepasiekiamą katalogą. North paskyra neturi tyliai tapti South Alex, kai North nepasiekiamas. Laikykite šiuos rezultatus atskiriamus žurnaluose, neįrašydami slaptažodžių.