Вход в Squid проходит успешно, но правило группы LDAP запрещает доступ

Если вход проходит успешно, но правило группы отклоняет запрос, проследите идентичность в поиске LDAP, прежде чем менять пароль. Аутентификация, поиск объекта пользователя и сопоставление членства в группе — это три отдельных результата.

1. Запишите аутентифицированное имя: это может быть DOMAIN\alex, [email protected] или alex.
2. Проверьте значение, передаваемое через %LOGIN внешнего ACL, и атрибут пользователя, который ищет помощник.
3. Сравните разрешённую и неразрешённую тестовую идентичность: какое имя поиска получилось, найден ли пользователь и совпало ли членство.

Для ext_ldap_group_acl документированный -S удаляет компонент домена в стиле NT, а -K удаляет компонент области Kerberos, отделённый символом @. Используйте любой из них только тогда, когда это преобразование соответствует контракту каталога. Если два авторитетных домена имеют одно и то же короткое имя, удаление квалификатора может выбрать неверную идентичность.

Следите и за правильностью подстановок фильтров помощника. Фильтры поиска пользователей и групп имеют разные заполнители; фильтр, скопированный из другого помощника или выпуска, может искать не то значение, даже если подключение к LDAP работает.

Найдите первый результат, отличающийся от политики, и исправьте это сопоставление или поиск. Держите секреты привязки и пароли пользователей вне сравнения. Сбой поиска группы после успешного входа не требует менять схему аутентификации браузера.