Squid-innlogging lukkast, men LDAP-grupperegelen nektar tilgang

Viss innlogginga lukkast, men grupperegelen avslår førespurnaden, følg identiteten inn i LDAP-oppslaget før du endrar passordet. Autentisering, å finne brukarobjektet og å matche gruppemedlemskap er tre separate resultat.

1. Noter det autentiserte namnet: det kan vere DOMAIN\alex, [email protected] eller alex.
2. Kontroller verdien som blir send gjennom %LOGIN til den eksterne ACL-en, og brukarattributtet hjelparen søkjer i.
3. Samanlikn ein autorisert og ein ikkje-autorisert testidentitet: kva oppslagsnamn vart resultatet, vart brukaren funnen, og samsvara medlemskapet?

For ext_ldap_group_acl fjernar den dokumenterte -S ein domenekomponent i NT-stil, og -K fjernar ein Kerberos-realmkomponent skild med @. Bruk ein av dei berre når den transformasjonen passar med kontrakten til katalogen. Viss to autoritative domene har same korte namn, kan fjerning av kvalifikatoren velje feil identitet.

Hald òg filtersubstitusjonane til hjelparen rette. Filter for brukar- og gruppesøk har ulike plasshaldarar; eit filter kopiert frå ein annan hjelpar eller utgiving kan søkje etter feil verdi sjølv når LDAP-tilkoplinga verkar.

Finn det første resultatet som avvik frå policyen, og reparer den mappinga eller det søket. Hald bind-hemmelegheiter og brukarpassord utanfor samanlikninga. Ein feil i gruppeoppslaget etter ei gyldig innlogging krev ikkje at autentiseringsskjemaet i nettlesaren blir endra.