Најавувањето во Squid успева, но правилото за LDAP група го одбива пристапот

Ако најавувањето успее, но правилото за група го одбие барањето, следете го идентитетот во LDAP пребарувањето пред да ја смените лозинката. Автентикацијата, пронаоѓањето на корисничкиот објект и совпаѓањето на групното членство се три одделни резултати.

1. Запишете го автентицираното име: тоа може да биде DOMAIN\alex, [email protected] или alex.
2. Проверете ја вредноста што се пренесува преку %LOGIN на надворешниот ACL и атрибутот на корисникот што го бара помагачот.
3. Споредете овластен и неовластен пробен идентитет: кое име за пребарување се доби, дали корисникот е најден и дали членството се совпадна?

За ext_ldap_group_acl, документираниот -S отстранува доменски дел во NT стил, а -K отстранува дел од Kerberos realm одделен со @. Користете еден од нив само кога таа трансформација одговара на договорот на именикот. Ако два авторитативни домени го имаат истото кратко име, отстранувањето на квалификаторот може да избере погрешен идентитет.

Одржувајте ги точни и замените во филтрите на помагачот. Филтрите за пребарување корисници и групи имаат различни места за замена; филтер копиран од друг помагач или издание може да бара погрешна вредност дури и кога LDAP врската работи.

Најдете го првиот резултат што отстапува од политиката и поправете го тоа мапирање или пребарување. Држете ги тајните за поврзување и корисничките лозинки надвор од споредбата. Неуспехот на пребарувањето група по валидна најава не бара менување на шемата за автентикација во прелистувачот.