Aquest error de contrasenya LDAP potser no és la contrasenya de l’usuari

Restablir la contrasenya d’un usuari és el primer moviment equivocat quan el registre només diu que s’ha refusat un enllaç. Amb un connector de directori hi ha més d’un enllaç en un sol inici de sessió, i el refús pot pertànyer al compte de servei que fa la cerca. Restablir les credencials de l’usuari en aquest cas no canvia res. També bloqueja algú que mai no va ser el problema.

Un inici de sessió, diversos enllaços

Una configuració amb un compte de directori dedicat normalment fa quatre passos en ordre, i qualsevol d’ells pot acabar l’inici de sessió.

connect to the directory and establish the configured TLS protection
bind as the configured service account
search for the user entry using the search base and filter
open a second connection and bind as that user, then evaluate groups

El connector construeix la seva connexió d’autenticació d’usuari amb el mateix auxiliar que gestiona la primera connexió, així que aquest auxiliar pot fallar en connectar, en negociar TLS o en enllaçar com a compte de servei. El missatge d’alt nivell sobre una contrasenya es genera més tard i no porta quina identitat hi era implicada. Per això el text de l’error tot sol no et pot dir si es va refusar l’usuari o el compte de servei.

Llegeix les línies anteriors al missatge i fixa’t en el moment en què va passar la fallada. Un refús a l’arrencada, abans que arribi cap usuari, assenyala el compte configurat o el punt final. Un refús que només apareix per a una persona, després d’una cerca correcta, assenyala l’entrada d’aquesta persona o l’estat del seu compte.

Emparella l’error amb una identitat

La regla pràctica és anotar tres coses alhora: quan va fallar, quina operació s’estava executant i quina identitat s’havia presentat. Sense aquest triplet, dues fallades molt diferents semblen idèntiques en un registre que només guarda la frase final.

Si el compte configurat falla, inspecciona aquest compte i la connexió abans de tocar cap registre d’usuari. Si l’enllaç de l’usuari falla després d’una cerca correcta, examina l’entrada que ha retornat la cerca i no la que suposaves que retornaria. Els dos camins comparteixen un missatge i res més. Anota quin has descartat, perquè la persona següent preguntarà exactament això.

El nom distingit és una dada, no una conjectura

Canviar un component del nom perquè sembla estrany és una manera habitual de trencar una configuració que funciona. La ubicació per defecte dels objectes d’usuari a l’Active Directory és un contenidor anomenat Users, i un contenidor no és el mateix tipus d’objecte que una unitat organitzativa amb un nom semblant.

Demana a l’administrador del directori el nom distingit real del compte, o llegeix-lo de l’objecte mateix. Tots dos exemples següents poden ser correctes en el seu propi directori, i per això cap no s’hauria d’escriure de memòria.

CN=VPN Bind,CN=Users,DC=corp,DC=example
CN=VPN Bind,OU=Service Accounts,DC=corp,DC=example

Moure o reanomenar canvia aquest valor mentre el compte i la contrasenya continuen sent vàlids, així que una configuració que funcionava el trimestre passat pot fallar en aquest sense que ningú hagi tocat cap credencial. Compara la cadena configurada amb l’atribut actual del directori després de qualsevol reorganització. Fes-ho també després d’una migració tranquil·la, no només després d’una avaria notificada.

Un abast de cerca no és un compte de servei

La identitat d’enllaç i l’abast de cerca responen preguntes diferents: com a qui s’autentica el connector i on busca les persones. Un enllaç correcte seguit de cap usuari coincident és un problema d’abast, de filtre o de permís de lectura, i substituir el nom distingit del compte per la base dels usuaris no hi canvia res.

Confirma que el servei ha carregat la configuració que has editat i que la seva punt final, confiança en TLS i mode d’autenticació coincideixen amb una prova administrativa que funcioni. Una consulta manual amb un altre compte, o contra un altre controlador de domini, no és un experiment equivalent.

Comprova el secret desat i comprova si el compte està habilitat, caducat o bloquejat, sense imprimir la contrasenya enlloc. La caducitat és fàcil de passar per alt perquè el compte continua funcionant fins al dia que ja no. Un bloqueig heretat d’un servei no relacionat és igual de silenciós. Cap de les dues condicions no produeix un missatge que anomeni el compte de servei.

Les regles de grup van al final

L’autorització s’executa després que els enllaços tinguin èxit, així que una comprovació de grup no pot ser la causa d’un enllaç fallit, i treure el requisit de grup no el pot reparar. Si l’inici de sessió ja arriba a la fase de grup, el problema restant és la pertinença, no les credencials.

Concedir al compte de servei amplis drets de directori per fer desaparèixer l’error canvia la política d’accés de tot el desplegament. Tracta-ho com una decisió de seguretat amb la seva pròpia revisió, no com una solució per a un missatge que encara no has atribuït a cap identitat.