خطأ كلمة مرور LDAP هذا قد لا يكون كلمة مرور المستخدم إطلاقًا
قد يأتي فشل الربط من حساب الخدمة أو من نطاق البحث، لا من المستخدم. افصل بين عمليات الربط قبل إعادة تعيين كلمة مرور أي شخص.
إعادة تعيين كلمة مرور مستخدم هي الخطوة الأولى الخاطئة عندما يقول السجل فقط إن عملية ربط قد رُفضت. مع إضافة الدليل يوجد أكثر من عملية ربط واحدة في تسجيل الدخول الواحد، وقد يكون الرفض من نصيب حساب الخدمة الذي ينفّذ البحث. إعادة تعيين بيانات اعتماد المستخدم في تلك الحالة لا تغيّر شيئًا. كما أنها تقفل حساب شخص لم يكن هو المشكلة أبدًا.
تسجيل دخول واحد، وعمليات ربط عدة
الإعداد الذي يستخدم حساب دليل مخصصًا ينفّذ عادةً أربع خطوات بالترتيب، وأي منها يمكن أن ينهي تسجيل الدخول.
connect to the directory and establish the configured TLS protection
bind as the configured service account
search for the user entry using the search base and filter
open a second connection and bind as that user, then evaluate groupsتبني الإضافة اتصال مصادقة المستخدم عبر نفس المساعد الذي يتولى الاتصال الأول، لذا يمكن أن يفشل ذلك المساعد أثناء الاتصال، أو أثناء التفاوض على TLS، أو أثناء الربط بحساب الخدمة. تُولّد رسالة المستوى الأعلى عن كلمة المرور لاحقًا، وهي لا تحمل أي هوية كانت معنية. لهذا لا يستطيع نص الخطأ وحده أن يخبرك هل رُفض المستخدم أم حساب الخدمة.
اقرأ الأسطر التي تسبق الرسالة، ولاحظ لحظة حدوث الفشل. رفض عند بدء التشغيل، قبل وصول أي مستخدم، يشير إلى الحساب المهيأ أو إلى نقطة النهاية. رفض يظهر لشخص واحد فقط، بعد بحث ناجح، يشير إلى مدخل ذلك الشخص أو إلى حالة حسابه.
اقرن الخطأ بهوية
القاعدة العملية هي تسجيل ثلاثة أشياء معًا: وقت الفشل، وأي عملية كانت تعمل، وأي هوية قُدّمت. بدون هذه الثلاثية، يبدو خطآن مختلفان تمامًا متطابقين في سجل يحتفظ بالجملة الأخيرة فقط.
| What the log shows | Identity likely refused | First thing to check |
|---|---|---|
| Failure at start-up, no user yet | Service account | DN, password, expiry, lockout |
| Search returns nothing | None, the search scope is wrong | Search base and filter |
| Failure only for one user | That user's entry | Entry state, bind DN, group rules |
إذا فشل الحساب المهيأ، فافحص ذلك الحساب والاتصال قبل لمس أي سجل مستخدم. وإذا فشل ربط المستخدم بعد بحث ناجح، فافحص المدخل الذي أعاده البحث بدلًا من المدخل الذي افترضت أنه سيعيده. المسارَان يتشاركان رسالة ولا شيء غيرها. اكتب أي المسارين استبعدته، لأن الشخص التالي سيسأل عن ذلك بالضبط.
الاسم المميز بيانات، وليس تخمينًا
تغيير مكوّن من مكونات الاسم لأنه يبدو غير مألوف طريقة شائعة لكسر إعداد كان يعمل. الموقع الافتراضي لكائنات المستخدمين في Active Directory هو حاوية تُسمى Users، والحاوية ليست نوع الكائن نفسه الذي تكونه وحدة تنظيمية ذات اسم مشابه.
اطلب من مدير الدليل الاسم المميز الفعلي للحساب، أو اقرأه من الكائن نفسه. كل من المثالين التاليين يمكن أن يكون صحيحًا في دليله الخاص، ولهذا لا ينبغي كتابة أي منهما من الذاكرة.
CN=VPN Bind,CN=Users,DC=corp,DC=example
CN=VPN Bind,OU=Service Accounts,DC=corp,DC=exampleنقل الكائن أو إعادة تسميته يغيّر تلك القيمة بينما يظل الحساب وكلمة المرور صالحين، لذا فقد يفشل إعداد كان يعمل في الربع الماضي في هذا الربع دون أن يمسّ أحد أي بيانات اعتماد. قارن السلسلة المهيأة بالسمة الحالية في الدليل بعد أي إعادة تنظيم. افعل ذلك بعد أي ترحيل هادئ أيضًا، وليس فقط بعد انقطاع مُبلَّغ عنه.
قاعدة البحث ليست حساب خدمة
هوية الربط وقاعدة البحث تجيبان عن سؤالين مختلفين: باسم من تُصادق الإضافة، وأين تبحث عن الأشخاص. الربط الناجح الذي لا يتبعه مستخدم مطابق مشكلة في النطاق أو المرشح أو إذن القراءة، واستبدال الاسم المميز للحساب بقاعدة المستخدمين لا يغيّر شيئًا من ذلك.
تأكد من أن الخدمة حمّلت الإعداد الذي عدّلته، وأن نقطة النهاية وثقة TLS ووضع المصادقة فيها تطابق اختبارًا إداريًا ناجحًا. البحث اليدوي بحساب مختلف، أو على وحدة تحكم مجال مختلفة، ليس تجربة مكافئة.
افحص السر المخزَّن، وافحص ما إذا كان الحساب ممكّنًا أو منتهيًا أو مقفلًا، دون طباعة كلمة المرور في أي مكان. من السهل أن يفوتك انتهاء الصلاحية لأن الحساب يستمر في العمل حتى اليوم الذي يتوقف فيه. القفل الموروث من خدمة غير ذات صلة هادئ بالقدر نفسه. لا يُنتج أي من الحالتين رسالة تسمّي حساب الخدمة.
قواعد المجموعات تأتي أخيرًا
يجري التفويض بعد نجاح عمليات الربط، لذا لا يمكن أن يكون فحص المجموعة سببًا لفشل ربط، ولا يمكن لإزالة شرط المجموعة أن تُصلحه. إذا كان تسجيل الدخول يصل الآن إلى مرحلة المجموعة، فالمشكلة المتبقية هي العضوية، لا بيانات الاعتماد.
منح حساب الخدمة صلاحيات دليل واسعة لجعل الخطأ يختفي يغيّر سياسة الوصول للنشر بأكمله. تعامل مع ذلك كقرار أمني له مراجعته الخاصة، لا كإصلاح لرسالة لم تنسبها بعد إلى هوية.