Prihlásenie do Squidu prejde, ale pravidlo skupiny LDAP prístup odmietne

Pred zmenou hesiel alebo prepísaním členstva v skupinách adresára skontrolujte používateľské meno odovzdávané pomocníkovi skupín LDAP Squidu.

Ak sa prihlásenie podarí, ale pravidlo skupiny požiadavku odmietne, sledujte identitu do vyhľadania v LDAP skôr, než zmeníte heslo. Overenie, nájdenie objektu používateľa a zhoda členstva v skupine sú tri oddelené výsledky.

  1. Zapíšte overené meno: môže to byť DOMAIN\alex, [email protected] alebo alex.
  2. Skontrolujte hodnotu odovzdávanú cez %LOGIN externej ACL a atribút používateľa, ktorý pomocník prehľadáva.
  3. Porovnajte povolenú a nepovolenú testovaciu identitu: aké vyhľadávacie meno vzniklo, bol používateľ nájdený a sedelo členstvo?

Pri ext_ldap_group_acl dokumentovaný -S odstraňuje doménový komponent v štýle NT a -K odstraňuje komponent Kerberos realm oddelený znakom @. Použite ktorýkoľvek z nich len vtedy, keď táto transformácia zodpovedá zmluve adresára. Ak majú dve autoritatívne domény rovnaké krátke meno, odstránenie kvalifikátora môže vybrať nesprávnu identitu.

Udržiavajte správne aj zámeny vo filtroch pomocníka. Filtre vyhľadávania používateľov a skupín majú rôzne zástupné znaky; filter skopírovaný z iného pomocníka alebo vydania môže hľadať nesprávnu hodnotu, aj keď LDAP spojenie funguje.

Nájdite prvý výsledok odlišný od zásady a opravte toto mapovanie alebo vyhľadávanie. Držte tajomstvá pripojenia a používateľské heslá mimo porovnania. Zlyhanie vyhľadania skupiny po platnom prihlásení nevyžaduje zmenu schémy overovania v prehliadači.

Súvisiace články