Logowanie do Squida się udaje, ale reguła grupy LDAP odmawia dostępu

Sprawdź nazwę użytkownika przekazywaną do pomocnika grup LDAP Squida, zanim zmienisz hasła lub przepiszesz członkostwo w grupach katalogu.

Jeśli logowanie się udaje, ale reguła grupy odrzuca żądanie, prześledź tożsamość w wyszukiwaniu LDAP, zanim zmienisz hasło. Uwierzytelnienie, odnalezienie obiektu użytkownika i dopasowanie członkostwa w grupie to trzy odrębne wyniki.

  1. Zapisz uwierzytelnioną nazwę: może to być DOMAIN\alex, [email protected] lub alex.
  2. Sprawdź wartość przekazywaną przez %LOGIN zewnętrznego ACL oraz atrybut użytkownika, którego szuka pomocnik.
  3. Porównaj uprawnioną i nieuprawnioną tożsamość testową: jaka nazwa wyszukiwania powstała, czy użytkownik został znaleziony i czy członkostwo się zgadzało?

Dla ext_ldap_group_acl udokumentowany -S usuwa składnik domeny w stylu NT, a -K usuwa składnik realm Kerberos oddzielony znakiem @. Używaj któregokolwiek z nich tylko wtedy, gdy ta transformacja pasuje do kontraktu katalogu. Jeśli dwie domeny autorytatywne mają tę samą krótką nazwę, usunięcie kwalifikatora może wybrać niewłaściwą tożsamość.

Utrzymuj też poprawność podstawień filtrów pomocnika. Filtry wyszukiwania użytkowników i grup mają różne symbole zastępcze; filtr skopiowany z innego pomocnika lub wydania może szukać niewłaściwej wartości, nawet gdy łączność LDAP działa.

Znajdź pierwszy wynik odbiegający od polityki i napraw to mapowanie lub wyszukiwanie. Trzymaj sekrety powiązania i hasła użytkowników poza porównaniem. Niepowodzenie wyszukiwania grupy po prawidłowym logowaniu nie wymaga zmiany schematu uwierzytelniania przeglądarki.

Powiązane artykuły