O login no Squid é bem-sucedido, mas a regra de grupo LDAP nega o acesso

Se o login for bem-sucedido mas a regra de grupo negar a requisição, siga a identidade até a consulta LDAP antes de alterar a senha. Autenticação, localização do objeto de usuário e correspondência da associação ao grupo são três resultados distintos.

1. Registre o nome autenticado: pode ser DOMAIN\alex, [email protected] ou alex.
2. Verifique o valor repassado por %LOGIN da ACL externa e o atributo de usuário que o auxiliar pesquisa.
3. Compare uma identidade de teste autorizada e uma não autorizada: qual nome de consulta resultou, o usuário foi encontrado e a associação coincidiu?

Para ext_ldap_group_acl, o -S documentado remove um componente de domínio no estilo NT, e -K remove um componente de realm Kerberos separado por @. Use qualquer um deles apenas quando essa transformação corresponder ao contrato do diretório. Se dois domínios autoritativos tiverem o mesmo nome curto, remover o qualificador pode selecionar a identidade errada.

Mantenha também corretas as substituições de filtro do auxiliar. Os filtros de busca de usuários e de grupos têm marcadores diferentes; um filtro copiado de outro auxiliar ou versão pode procurar o valor errado mesmo quando a conectividade LDAP funciona.

Encontre o primeiro resultado que divergir da política e corrija esse mapeamento ou busca. Mantenha os segredos de bind e as senhas de usuário fora da comparação. Uma falha na consulta de grupo após um login válido não exige mudar o esquema de autenticação do navegador.