Autentificarea în Squid reușește, dar regula de grup LDAP refuză accesul

Verificați numele de utilizator transmis ajutorului de grup LDAP al Squid înainte de a schimba parole sau de a rescrie apartenența la grupurile directorului.

Dacă autentificarea reușește dar regula de grup refuză cererea, urmăriți identitatea în căutarea LDAP înainte de a schimba parola. Autentificarea, găsirea obiectului utilizator și potrivirea apartenenței la grup sunt trei rezultate separate.

  1. Notați numele autentificat: poate fi DOMAIN\alex, [email protected] sau alex.
  2. Verificați valoarea transmisă prin %LOGIN al ACL-ului extern și atributul de utilizator pe care îl caută ajutorul.
  3. Comparați o identitate de test autorizată și una neautorizată: ce nume de căutare a rezultat, a fost găsit utilizatorul și s-a potrivit apartenența?

Pentru ext_ldap_group_acl, -S documentat elimină o componentă de domeniu în stil NT, iar -K elimină o componentă de realm Kerberos separată prin @. Folosiți oricare dintre ele doar când acea transformare corespunde contractului directorului. Dacă două domenii autoritative au același nume scurt, eliminarea calificatorului poate selecta identitatea greșită.

Păstrați corecte și substituțiile de filtru ale ajutorului. Filtrele de căutare a utilizatorilor și a grupurilor au substituenți diferiți; un filtru copiat de la alt ajutor sau altă versiune poate căuta valoarea greșită chiar dacă conectivitatea LDAP funcționează.

Găsiți primul rezultat care diferă de politică și reparați acea mapare sau căutare. Țineți secretele de legare și parolele utilizatorilor în afara comparației. Un eșec al căutării grupului după o autentificare validă nu cere schimbarea schemei de autentificare a browserului.

Articole similare