Squid-aanmelding slaagt, maar de LDAP-groepsregel weigert toegang

Als de aanmelding slaagt maar de groepsregel het verzoek weigert, volg dan de identiteit tot in de LDAP-zoekopdracht voordat u het wachtwoord wijzigt. Authenticatie, het vinden van het gebruikersobject en het matchen van groepslidmaatschap zijn drie afzonderlijke resultaten.

1. Noteer de geauthenticeerde naam: dat kan DOMAIN\alex, [email protected] of alex zijn.
2. Controleer de waarde die via %LOGIN van de externe ACL wordt doorgegeven en het gebruikersattribuut dat de hulp doorzoekt.
3. Vergelijk een gemachtigde en een niet-gemachtigde testidentiteit: welke zoeknaam kwam eruit, is de gebruiker gevonden en kwam het lidmaatschap overeen?

Voor ext_ldap_group_acl verwijdert de gedocumenteerde -S een domeincomponent in NT-stijl, en -K verwijdert een Kerberos-realmcomponent gescheiden door @. Gebruik een van beide alleen wanneer die transformatie past bij het contract van de directory. Als twee gezaghebbende domeinen dezelfde korte naam hebben, kan het verwijderen van de kwalificatie de verkeerde identiteit kiezen.

Houd ook de filtersubstituties van de hulp correct. Filters voor gebruikers- en groepszoekopdrachten hebben verschillende plaatsaanduidingen; een filter dat uit een andere hulp of release is gekopieerd kan de verkeerde waarde zoeken, zelfs als de LDAP-verbinding werkt.

Zoek het eerste resultaat dat van het beleid afwijkt en repareer die mapping of zoekopdracht. Houd bindgeheimen en gebruikerswachtwoorden buiten de vergelijking. Een fout in de groepzoekopdracht na een geldige aanmelding vraagt niet om het authenticatieschema van de browser te wijzigen.