Prijava v Squid uspe, a pravilo skupine LDAP zavrne dostop

Pred spremembo gesel ali prepisovanjem članstva v skupinah imenika preverite uporabniško ime, ki se preda pomočniku skupin LDAP v Squidu.

Če prijava uspe, a pravilo skupine zahtevo zavrne, sledite identiteti v iskanje LDAP, preden spremenite geslo. Preverjanje pristnosti, iskanje uporabniškega predmeta in ujemanje članstva v skupini so trije ločeni rezultati.

  1. Zapišite overjeno ime: lahko je DOMAIN\alex, [email protected] ali alex.
  2. Preverite vrednost, ki se posreduje prek %LOGIN zunanjega ACL, in uporabniški atribut, ki ga pomočnik išče.
  3. Primerjajte pooblaščeno in nepooblaščeno preizkusno identiteto: katero iskalno ime je nastalo, ali je bil uporabnik najden in ali se je članstvo ujemalo?

Za ext_ldap_group_acl dokumentirani -S odstrani domensko komponento v slogu NT, -K pa odstrani komponento območja Kerberos, ločeno z @. Uporabite eno ali drugo le, ko se ta pretvorba ujema s pogodbo imenika. Če imata dve pooblaščeni domeni enako kratko ime, lahko odstranitev kvalifikatorja izbere napačno identiteto.

Ohranjajte pravilne tudi zamenjave filtrov pomočnika. Filtri iskanja uporabnikov in skupin imajo različne ograde; filter, kopiran iz drugega pomočnika ali izdaje, lahko išče napačno vrednost, tudi ko povezava LDAP deluje.

Poiščite prvi rezultat, ki se razlikuje od politike, in popravite to preslikavo ali iskanje. Skrivnosti vezave in uporabniška gesla hranite zunaj primerjave. Neuspeh iskanja skupine po veljavni prijavi ne zahteva spremembe sheme preverjanja pristnosti v brskalniku.

Sorodni članki