Prijava na Squid uspijeva, ali LDAP pravilo grupe odbija pristup

Provjerite korisničko ime koje se predaje Squidovom LDAP pomoćniku za grupe prije nego što promijenite lozinke ili prepišete članstvo u grupama imenika.

Ako prijava uspije, ali pravilo grupe odbije zahtjev, pratite identitet do LDAP pretrage prije nego što promijenite lozinku. Autentifikacija, pronalaženje korisničkog objekta i podudaranje članstva u grupi tri su odvojena rezultata.

  1. Zabilježite autentificirano ime: ono može biti DOMAIN\alex, [email protected] ili alex.
  2. Provjerite vrijednost koja se prosljeđuje kroz %LOGIN vanjskog ACL-a i atribut korisnika koji pomoćnik pretražuje.
  3. Uporedite ovlašteni i neovlašteni probni identitet: koje je ime pretrage dobijeno, je li korisnik pronađen i je li se članstvo podudarilo?

Za ext_ldap_group_acl dokumentirani -S uklanja komponentu domene u NT stilu, a -K uklanja komponentu Kerberos realm-a odvojenu znakom @. Koristite bilo koju od njih samo kada ta transformacija odgovara ugovoru imenika. Ako dva autoritativna domena imaju isto kratko ime, uklanjanje kvalifikatora može odabrati pogrešan identitet.

Održavajte ispravnim i zamjene filtara pomoćnika. Filtri pretrage korisnika i grupa imaju različite rezervisane znakove; filtar kopiran iz drugog pomoćnika ili izdanja može tražiti pogrešnu vrijednost čak i kada LDAP veza radi.

Pronađite prvi rezultat koji odstupa od politike i popravite to mapiranje ili pretragu. Držite tajne vezivanja i korisničke lozinke izvan poređenja. Neuspjeh pretrage grupe nakon valjane prijave ne zahtijeva promjenu sheme autentifikacije u pregledniku.

Povezani članci