การเข้าสู่ระบบ Squid สำเร็จ แต่กฎกลุ่ม LDAP ปฏิเสธการเข้าถึง
ตรวจสอบชื่อผู้ใช้ที่ส่งไปยังตัวช่วยกลุ่ม LDAP ของ Squid ก่อนเปลี่ยนรหัสผ่านหรือเขียนสมาชิกภาพกลุ่มของไดเรกทอรีใหม่
หากการเข้าสู่ระบบสำเร็จแต่กฎกลุ่มปฏิเสธคำขอ ให้ติดตามตัวตนเข้าไปในการค้นหา LDAP ก่อนเปลี่ยนรหัสผ่าน การยืนยันตัวตน การค้นหาออบเจ็กต์ผู้ใช้ และการจับคู่สมาชิกภาพกลุ่มเป็นผลลัพธ์สามอย่างที่แยกจากกัน
- บันทึกชื่อที่ยืนยันแล้ว: อาจเป็น
DOMAIN\alex,[email protected]หรือalex - ตรวจสอบค่าที่ส่งผ่าน
%LOGINของ ACL ภายนอก และแอตทริบิวต์ผู้ใช้ที่ตัวช่วยค้นหา - เปรียบเทียบตัวตนทดสอบที่ได้รับอนุญาตและที่ไม่ได้รับอนุญาต: ชื่อค้นหาใดเกิดขึ้น พบผู้ใช้หรือไม่ และสมาชิกภาพตรงกันหรือไม่
สำหรับ ext_ldap_group_acl นั้น -S ที่มีเอกสารระบุจะลบองค์ประกอบโดเมนแบบ NT และ -K จะลบองค์ประกอบ Kerberos realm ที่คั่นด้วย @ ใช้อย่างใดอย่างหนึ่งเฉพาะเมื่อการแปลงนั้นตรงกับสัญญาของไดเรกทอรี หากสองโดเมนที่มีอำนาจมีชื่อสั้นเหมือนกัน การตัดตัวระบุออกอาจเลือกตัวตนผิด
รักษาการแทนที่ตัวกรองของตัวช่วยให้ถูกต้องด้วย ตัวกรองค้นหาผู้ใช้และค้นหากลุ่มมีตัวแทนที่ต่างกัน ตัวกรองที่คัดลอกมาจากตัวช่วยหรือรุ่นอื่นอาจค้นหาค่าผิดได้แม้การเชื่อมต่อ LDAP จะทำงาน
หาผลลัพธ์แรกที่แตกต่างจากนโยบายแล้วแก้ไขการแมปหรือการค้นหานั้น เก็บความลับการผูกและรหัสผ่านผู้ใช้ออกจากการเปรียบเทียบ ความล้มเหลวของการค้นหากลุ่มหลังการเข้าสู่ระบบที่ถูกต้องไม่จำเป็นต้องเปลี่ยนรูปแบบการยืนยันตัวตนของเบราว์เซอร์