Ta LDAP greška s lozinkom možda uopće nije korisnička lozinka
Neuspješno povezivanje može doći od servisnog računa ili od opsega pretrage, a ne od korisnika. Razdvojite povezivanja prije nego što ikome poništite lozinku.
Poništavanje korisničke lozinke pogrešan je prvi potez kada dnevnik kaže samo da je povezivanje odbijeno. Kod dodatka za imenik u jednoj prijavi postoji više od jednog povezivanja, a odbijanje može pripadati servisnom računu koji obavlja pretragu. Poništavanje korisničkih vjerodajnica u tom slučaju ne mijenja ništa. Osim toga, zaključava nekoga ko nikada nije bio problem.
Jedna prijava, više povezivanja
Konfiguracija s namjenskim računom imenika obično izvodi četiri koraka po redu i bilo koji od njih može prekinuti prijavu.
connect to the directory and establish the configured TLS protection
bind as the configured service account
search for the user entry using the search base and filter
open a second connection and bind as that user, then evaluate groupsDodatak gradi vezu za provjeru korisnika kroz istu pomoćnu funkciju koja obrađuje prvu vezu, pa ta funkcija može pasti pri povezivanju, pri pregovaranju o TLS-u ili pri povezivanju kao servisni račun. Poruka više razine o lozinci stvara se kasnije i ne nosi podatak o tome koji je identitet bio uključen. Zato tekst greške sam po sebi ne može reći je li odbijen korisnik ili servisni račun.
Pročitajte retke prije poruke i zabilježite trenutak kada se kvar dogodio. Odbijanje pri pokretanju, prije nego što dođe ijedan korisnik, upućuje na konfigurirani račun ili na krajnju točku. Odbijanje koje se pojavljuje samo za jednu osobu, nakon uspješne pretrage, upućuje na zapis te osobe ili stanje njezina računa.
Povežite grešku s identitetom
Praktično pravilo jest zabilježiti tri stvari zajedno: kada je palo, koja je operacija bila u tijeku i koji je identitet predstavljen. Bez te trojke dvije vrlo različite smetnje izgledaju jednako u dnevniku koji čuva samo posljednju rečenicu.
| What the log shows | Identity likely refused | First thing to check |
|---|---|---|
| Failure at start-up, no user yet | Service account | DN, password, expiry, lockout |
| Search returns nothing | None, the search scope is wrong | Search base and filter |
| Failure only for one user | That user's entry | Entry state, bind DN, group rules |
Ako konfigurirani račun padne, pregledajte taj račun i vezu prije nego dotaknete bilo koji korisnički zapis. Ako povezivanje korisnika padne nakon uspješne pretrage, pregledajte zapis koji je pretraga vratila, a ne onaj za koji ste pretpostavili da će ga vratiti. Dva puta dijele poruku i ništa drugo. Zapišite koji ste od njih isključili, jer sljedeća osoba pita upravo to.
Razlikovno ime je podatak, a ne nagađanje
Mijenjanje sastavnice imena zato što izgleda nepoznato čest je način da se pokvari konfiguracija koja radi. Zadano mjesto za korisničke objekte u Active Directoryju je spremnik nazvan Users, a spremnik nije ista vrsta objekta kao organizacijska jedinica sličnog naziva.
Zatražite od administratora imenika stvarno razlikovno ime računa ili ga pročitajte iz samog objekta. Oba sljedeća primjera mogu biti točna u vlastitom imeniku, zato nijedan ne treba upisivati po sjećanju.
CN=VPN Bind,CN=Users,DC=corp,DC=example
CN=VPN Bind,OU=Service Accounts,DC=corp,DC=examplePremještanje ili preimenovanje mijenja tu vrijednost dok račun i lozinka ostaju valjani, pa konfiguracija koja je radila prošlo tromjesečje može pasti u ovome bez toga da je itko dirao vjerodajnice. Usporedite konfigurirani niz s trenutačnim atributom imenika nakon svake reorganizacije. Učinite to i nakon tihe migracije, ne samo nakon prijavljenog prekida.
Opseg pretrage nije servisni račun
Identitet povezivanja i opseg pretrage odgovaraju na različita pitanja: kao koga se dodatak provjerava i gdje traži ljude. Uspješno povezivanje nakon kojeg nema odgovarajućeg korisnika problem je opsega, filtra ili prava čitanja, a zamjena razlikovnog imena računa korisničkom bazom ne mijenja ništa u vezi s tim.
Potvrdite da je usluga učitala konfiguraciju koju ste uredili i da se njezina krajnja točka, povjerenje u TLS i način provjere podudaraju s radnim administrativnim testom. Ručna provjera s drugim računom ili na drugom kontroleru domene nije jednakovrijedan pokus.
Provjerite pohranjenu tajnu i provjerite je li račun omogućen, istekao ili zaključan, a da pritom lozinku nigdje ne ispišete. Istek je lako propustiti jer račun radi sve do dana kada više ne radi. Zaključavanje naslijeđeno od nepovezane usluge jednako je tiho. Nijedno od tih stanja ne stvara poruku koja imenuje servisni račun.
Pravila grupa dolaze posljednja
Ovlaštenje se izvodi nakon uspješnih povezivanja, pa provjera grupe ne može biti uzrok neuspjelog povezivanja i uklanjanje uvjeta grupe ne može ga popraviti. Ako prijava sada dosegne fazu grupe, preostali je problem članstvo, a ne vjerodajnice.
Davanje širokih prava u imeniku servisnom računu da bi greška nestala mijenja pravila pristupa cijele instalacije. Tretirajte to kao sigurnosnu odluku s vlastitim pregledom, a ne kao popravak poruke koju još niste pripisali identitetu.