Squid-inloggningen lyckas, men LDAP-gruppregeln nekar åtkomst

Om inloggningen lyckas men gruppregeln nekar begäran, följ identiteten in i LDAP-sökningen innan du byter lösenordet. Autentisering, att hitta användarobjektet och att matcha gruppmedlemskap är tre separata resultat.

1. Anteckna det autentiserade namnet: det kan vara DOMAIN\alex, [email protected] eller alex.
2. Kontrollera värdet som skickas via %LOGIN i den externa ACL:en och det användarattribut som hjälparen söker i.
3. Jämför en behörig och en obehörig testidentitet: vilket söknamn blev resultatet, hittades användaren och stämde medlemskapet?

För ext_ldap_group_acl tar det dokumenterade -S bort en domänkomponent i NT-stil, och -K tar bort en Kerberos-realmkomponent som skiljs av @. Använd någon av dem bara när den transformationen passar katalogens kontrakt. Om två auktoritativa domäner har samma korta namn kan borttagning av kvalificeraren välja fel identitet.

Håll också hjälparens filtersubstitutioner korrekta. Filter för användar- och gruppsökning har olika platshållare; ett filter som kopierats från en annan hjälpare eller version kan söka efter fel värde även när LDAP-anslutningen fungerar.

Hitta det första resultatet som avviker från policyn och reparera den mappningen eller sökningen. Håll bind-hemligheter och användarlösenord utanför jämförelsen. Ett misslyckat gruppuppslag efter en giltig inloggning kräver inte att webbläsarens autentiseringsschema ändras.