Squid-innlogging lykkes, men LDAP-grupperegelen nekter tilgang

Hvis innloggingen lykkes, men grupperegelen avslår forespørselen, følg identiteten inn i LDAP-oppslaget før du endrer passordet. Autentisering, å finne brukerobjektet og å matche gruppemedlemskap er tre separate resultater.

1. Noter det autentiserte navnet: det kan være DOMAIN\alex, [email protected] eller alex.
2. Kontroller verdien som sendes gjennom den eksterne ACL-ens %LOGIN, og brukerattributtet hjelperen søker i.
3. Sammenlign en autorisert og en ikke-autorisert testidentitet: hvilket oppslagsnavn ble resultatet, ble brukeren funnet, og samsvarte medlemskapet?

For ext_ldap_group_acl fjerner det dokumenterte -S en domenekomponent i NT-stil, og -K fjerner en Kerberos-realmkomponent atskilt med @. Bruk en av dem bare når den transformasjonen passer med katalogens kontrakt. Hvis to autoritative domener har samme korte navn, kan fjerning av kvalifikatoren velge feil identitet.

Hold også hjelperens filtersubstitusjoner riktig. Filtre for bruker- og gruppesøk har ulike plassholdere; et filter kopiert fra en annen hjelper eller utgivelse kan søke etter feil verdi selv når LDAP-tilkoblingen virker.

Finn det første resultatet som avviker fra policyen, og reparer den mappingen eller det søket. Hold bind-hemmeligheter og brukerpassord utenfor sammenligningen. En feil i gruppeoppslaget etter en gyldig innlogging krever ikke at nettleserens autentiseringsskjema endres.