Log masuk Squid berjaya, tetapi peraturan kumpulan LDAP menafikan akses
Semak nama pengguna yang dihantar kepada pembantu kumpulan LDAP Squid sebelum menukar kata laluan atau menulis semula keahlian kumpulan direktori.
Jika log masuk berjaya tetapi peraturan kumpulan menafikan permintaan, ikuti identiti itu ke dalam carian LDAP sebelum menukar kata laluan. Pengesahan, penemuan objek pengguna dan pemadanan keahlian kumpulan ialah tiga hasil berasingan.
- Catat nama yang disahkan: ia mungkin
DOMAIN\alex,[email protected]ataualex. - Semak nilai yang dihantar melalui
%LOGINACL luaran dan atribut pengguna yang dicari pembantu itu. - Bandingkan identiti ujian yang dibenarkan dan yang tidak dibenarkan: nama carian apa yang terhasil, adakah pengguna ditemui dan adakah keahlian sepadan?
Untuk ext_ldap_group_acl, -S yang didokumenkan membuang komponen domain gaya NT, dan -K membuang komponen realm Kerberos yang dipisahkan oleh @. Gunakan salah satu hanya apabila transformasi itu sepadan dengan kontrak direktori. Jika dua domain berwibawa mengandungi nama pendek yang sama, membuang penentu boleh memilih identiti yang salah.
Pastikan juga penggantian penapis pembantu itu betul. Penapis carian pengguna dan carian kumpulan mempunyai pemegang tempat yang berbeza; penapis yang disalin daripada pembantu atau keluaran lain boleh mencari nilai yang salah walaupun konektiviti LDAP berfungsi.
Cari hasil pertama yang berbeza daripada dasar dan baiki pemetaan atau carian itu. Jauhkan rahsia ikatan dan kata laluan pengguna daripada perbandingan. Kegagalan carian kumpulan selepas log masuk yang sah tidak memerlukan perubahan skema pengesahan pelayar.