Đăng nhập Squid thành công nhưng quy tắc nhóm LDAP từ chối truy cập

Nếu đăng nhập thành công nhưng quy tắc nhóm từ chối yêu cầu, hãy lần theo danh tính vào truy vấn LDAP trước khi đổi mật khẩu. Xác thực, tìm đối tượng người dùng và khớp tư cách thành viên nhóm là ba kết quả riêng biệt.

1. Ghi lại tên đã xác thực: có thể là DOMAIN\alex, [email protected] hoặc alex.
2. Kiểm tra giá trị được truyền qua %LOGIN của ACL bên ngoài và thuộc tính người dùng mà trình trợ giúp tìm kiếm.
3. So sánh một danh tính thử nghiệm được phép và một không được phép: tên tìm kiếm nào được tạo ra, có tìm thấy người dùng không và tư cách thành viên có khớp không?

Với ext_ldap_group_acl, -S đã được ghi tài liệu sẽ loại bỏ thành phần miền kiểu NT, còn -K loại bỏ thành phần Kerberos realm được phân tách bằng @. Chỉ dùng một trong hai khi phép biến đổi đó khớp với hợp đồng của thư mục. Nếu hai miền có thẩm quyền có cùng tên ngắn, việc bỏ phần định danh có thể chọn sai danh tính.

Cũng giữ cho các phép thay thế bộ lọc của trình trợ giúp chính xác. Bộ lọc tìm người dùng và bộ lọc tìm nhóm có phần giữ chỗ khác nhau; bộ lọc sao chép từ trình trợ giúp hoặc bản phát hành khác có thể tìm sai giá trị ngay cả khi kết nối LDAP hoạt động.

Tìm kết quả đầu tiên khác với chính sách và sửa ánh xạ hoặc tìm kiếm đó. Giữ bí mật liên kết và mật khẩu người dùng ngoài phạm vi so sánh. Việc tìm nhóm thất bại sau một lần đăng nhập hợp lệ không đòi hỏi phải đổi cơ chế xác thực của trình duyệt.