Пријава на Squid успева, али LDAP правило групе одбија приступ

Проверите корисничко име које се предаје Squid-овом LDAP помоћнику за групе пре него што промените лозинке или препишете чланство у групама именика.

Ако пријава успе, али правило групе одбије захтев, пратите идентитет до LDAP претраге пре него што промените лозинку. Аутентификација, проналажење корисничког објекта и подударање чланства у групи три су одвојена резултата.

  1. Забележите аутентификовано име: оно може бити DOMAIN\alex, [email protected] или alex.
  2. Проверите вредност која се прослеђује кроз %LOGIN спољашњег ACL-а и атрибут корисника који помоћник претражује.
  3. Упоредите овлашћени и неовлашћени пробни идентитет: које је име претраге добијено, је ли корисник пронађен и је ли се чланство подударило?

За ext_ldap_group_acl документовани -S уклања компоненту домена у NT стилу, а -K уклања компоненту Kerberos realm-а одвојену знаком @. Користите било коју од њих само када та трансформација одговара уговору именика. Ако два ауторитативна домена имају исто кратко име, уклањање квалификатора може одабрати погрешан идентитет.

Одржавајте исправним и замене филтера помоћника. Филтери претраге корисника и група имају различите резервисане знакове; филтер копиран из другог помоћника или издања може тражити погрешну вредност чак и када LDAP веза ради.

Пронађите први резултат који одступа од политике и поправите то мапирање или претрагу. Држите тајне повезивања и корисничке лозинке изван поређења. Неуспех претраге групе након ваљане пријаве не захтева промену шеме аутентификације у прегледачу.

Повезани чланци