Squid i duplirana korisnička imena u LDAP direktorijumima
Projektujte izbor direktorijuma i Squid keš za autentifikaciju zajedno kada nezavisni LDAP direktorijumi sadrže isto kratko korisničko ime.
Ako dva nezavisna direktorijuma oba sadrže alex, proksi treba izbor direktorijuma pre nego što proveri lozinku. Pokušaj prvo A pa B skriva taj izbor unutar neuspeha autentifikacije i može da pomeša nedostupan direktorijum sa odbijenom tajnom.
Dva rasporeda mogu da učine identitet eksplicitnim:
- Kvalifikovana prijava. Ime poput
[email protected]bira preko dispečera fiksni direktorijum koji je odredio administrator. Sačuvajte kvalifikovani identitet za autorizaciju i evidentiranje. Ne pretvarajte sufiks koji dostavi klijent u proizvoljnu adresu LDAP servera. - Stabilan pouzdan kontekst zahteva. Direktorijum bira slušalac ili drugi podržani kontekst. Definišite šta se dešava kada se osoba kreće ili koristi drugi slušalac; mrežna lokacija nije lični identitet.
Replike jednog direktorijuma su drugačije: dele prostor imena identiteta. Nepovezani direktorijumi ne postaju replike zato što oba koriste LDAP.
Uskladite ključ Squid keša akreditiva sa izborom pomoćnika. Referenca auth_param opisuje key_extras za prenošenje dodatnog konteksta i njegovo uključivanje u ključ keša, uključujući slučaj istovetnih imena razlučenih portom za slušanje. Pomoćnik mora da razume prošireni ulaz, a izabrani makro mora da bude dostupan u toj fazi autentifikacije.
Preferirajte stabilan kontekst. Često promenljiva IP adresa klijenta može da umnoži identitete u kešu i promeni kontrole koje očekuju jedan korisnički identitet.
Odvojeno definišite nepoznat direktorijum, nepoznat nalog, odbijenu lozinku i nedostupan direktorijum. Nalog North ne sme tiho da postane Alex iz Southa kada North nije dostupan. Održite te ishode razlučivim u zapisima bez beleženja lozinki.