Prisijungimas prie Squid pavyksta, bet LDAP grupės taisyklė atmeta prieigą

Patikrinkite vartotojo vardą, perduodamą Squid LDAP grupių pagalbininkui, prieš keisdami slaptažodžius ar perrašydami katalogo grupių narystę.

Jei prisijungimas pavyksta, bet grupės taisyklė atmeta užklausą, sekite tapatybę į LDAP paiešką prieš keisdami slaptažodį. Autentifikavimas, vartotojo objekto radimas ir grupės narystės sutapimas yra trys atskiri rezultatai.

  1. Užrašykite autentifikuotą vardą: jis gali būti DOMAIN\alex, [email protected] arba alex.
  2. Patikrinkite reikšmę, perduodamą per išorinės ACL %LOGIN, ir vartotojo atributą, kurio ieško pagalbininkas.
  3. Palyginkite leistiną ir neleistiną bandomąją tapatybę: koks paieškos vardas gavosi, ar vartotojas rastas ir ar narystė sutapo?

ext_ldap_group_acl atveju dokumentuotas -S pašalina NT stiliaus domeno komponentą, o -K pašalina @ atskirtą Kerberos realm komponentą. Naudokite bet kurį tik tada, kai ši transformacija atitinka katalogo sutartį. Jei du autoritetingi domenai turi tą patį trumpą vardą, kvalifikatoriaus pašalinimas gali pasirinkti neteisingą tapatybę.

Taip pat išlaikykite teisingus pagalbininko filtrų pakeitimus. Vartotojų ir grupių paieškos filtrai turi skirtingus vietos žymeklius; iš kito pagalbininko ar leidimo nukopijuotas filtras gali ieškoti neteisingos reikšmės net kai LDAP ryšys veikia.

Raskite pirmą rezultatą, besiskiriantį nuo politikos, ir pataisykite tą susiejimą ar paiešką. Laikykite prisijungimo paslaptis ir vartotojų slaptažodžius už palyginimo ribų. Grupės paieškos klaida po galiojančio prisijungimo nereikalauja keisti naršyklės autentifikavimo schemos.

Susiję straipsniai