Вхід у Squid успішний, але правило групи LDAP забороняє доступ

Якщо вхід успішний, але правило групи відхиляє запит, простежте ідентичність у пошуку LDAP, перш ніж змінювати пароль. Автентифікація, пошук об'єкта користувача та зіставлення членства в групі — це три окремі результати.

1. Запишіть автентифіковане ім'я: це може бути DOMAIN\alex, [email protected] або alex.
2. Перевірте значення, що передається через %LOGIN зовнішнього ACL, і атрибут користувача, який шукає помічник.
3. Порівняйте дозволену та недозволену тестову ідентичність: яке ім'я пошуку вийшло, чи знайдено користувача і чи збіглося членство?

Для ext_ldap_group_acl документований -S видаляє компонент домену в стилі NT, а -K видаляє компонент області Kerberos, відокремлений символом @. Використовуйте будь-який із них лише тоді, коли це перетворення відповідає договору каталогу. Якщо два авторитетні домени мають однакове коротке ім'я, видалення кваліфікатора може вибрати неправильну ідентичність.

Стежте й за правильністю підстановок фільтрів помічника. Фільтри пошуку користувачів і груп мають різні заповнювачі; фільтр, скопійований з іншого помічника або випуску, може шукати не те значення, навіть якщо з'єднання з LDAP працює.

Знайдіть перший результат, що відрізняється від політики, і виправте це зіставлення або пошук. Тримайте секрети прив'язки та паролі користувачів поза порівнянням. Збій пошуку групи після успішного входу не вимагає змінювати схему автентифікації браузера.