Tato chyba hesla LDAP nemusí být vůbec heslo uživatele

Resetování hesla uživatele je špatný první krok, když protokol říká jen to, že připojení bylo odmítnuto. U zásuvného modulu adresáře probíhá při jednom přihlášení více než jedno připojení a odmítnutí může patřit servisnímu účtu, který provádí hledání. Resetování přihlašovacích údajů uživatele v takovém případě nic nezmění. Navíc uzamkne někoho, kdo nikdy problémem nebyl.

Jedno přihlášení, několik připojení

Konfigurace s vyhrazeným účtem adresáře obvykle provádí čtyři kroky v pořadí a kterýkoli z nich může přihlášení ukončit.

connect to the directory and establish the configured TLS protection
bind as the configured service account
search for the user entry using the search base and filter
open a second connection and bind as that user, then evaluate groups

Modul sestavuje připojení pro ověření uživatele přes stejného pomocníka, který obsluhuje první připojení, takže tento pomocník může selhat při připojování, při vyjednávání TLS nebo při připojení jako servisní účet. Zpráva vyšší úrovně o heslu se vytváří později a nenese informaci o tom, která identita byla zapojena. Proto samotný text chyby nemůže říct, zda byl odmítnut uživatel, nebo servisní účet.

Přečtěte si řádky před zprávou a poznamenejte si okamžik, kdy k selhání došlo. Odmítnutí při startu, než dorazí jakýkoli uživatel, ukazuje na nakonfigurovaný účet nebo na koncový bod. Odmítnutí, které se objeví jen u jedné osoby po úspěšném hledání, ukazuje na záznam této osoby nebo na stav jejího účtu.

Spojte chybu s identitou

Praktické pravidlo je zaznamenat tři věci společně: kdy to selhalo, která operace běžela a která identita byla předložena. Bez této trojice vypadají dvě velmi odlišné závady v protokolu, který uchovává jen poslední větu, stejně.

Pokud nakonfigurovaný účet selže, prozkoumejte tento účet a připojení, než se dotknete jakéhokoli uživatelského záznamu. Pokud připojení uživatele selže po úspěšném hledání, prozkoumejte záznam, který hledání vrátilo, a ne ten, o kterém jste předpokládali, že ho vrátí. Obě cesty sdílejí zprávu a nic jiného. Zapište si, kterou jste vyloučili, protože další člověk se zeptá přesně na to.

Rozlišující jméno jsou data, ne odhad

Změna části jména proto, že vypadá neznámě, je běžný způsob, jak rozbít fungující konfiguraci. Výchozí umístění uživatelských objektů v Active Directory je kontejner s názvem Users a kontejner není stejný typ objektu jako organizační jednotka s podobným názvem.

Požádejte správce adresáře o skutečné rozlišující jméno účtu, nebo je přečtěte ze samotného objektu. Oba následující příklady mohou být ve svém vlastním adresáři správné, a proto žádný z nich nemá být psán z paměti.

CN=VPN Bind,CN=Users,DC=corp,DC=example
CN=VPN Bind,OU=Service Accounts,DC=corp,DC=example

Přesun nebo přejmenování změní tuto hodnotu, zatímco účet a heslo zůstávají platné, takže konfigurace, která fungovala minulé čtvrtletí, může v tomto selhat, aniž by se kdokoli dotkl přihlašovacích údajů. Porovnejte nakonfigurovaný řetězec s aktuálním atributem adresáře po každé reorganizaci. Udělejte to i po tiché migraci, ne jen po nahlášeném výpadku.

Rozsah hledání není servisní účet

Identita připojení a rozsah hledání odpovídají na různé otázky: jako kdo se modul ověřuje a kde hledá lidi. Úspěšné připojení, po němž nenásleduje žádný odpovídající uživatel, je problém rozsahu, filtru nebo práva čtení a nahrazení rozlišujícího jména účtu základnou uživatelů na tom nic nemění.

Ověřte, že služba načetla konfiguraci, kterou jste upravili, a že její koncový bod, důvěra v TLS a režim ověřování odpovídají funkčnímu administrativnímu testu. Ruční vyhledání s jiným účtem nebo proti jinému řadiči domény není rovnocenný pokus.

Zkontrolujte uložené tajemství a zkontrolujte, zda je účet povolený, vypršelý nebo uzamčený, aniž byste heslo někde vytiskli. Vypršení se snadno přehlédne, protože účet funguje až do dne, kdy už ne. Uzamčení zděděné z nesouvisející služby je stejně tiché. Ani jeden z těchto stavů nevytváří zprávu, která by pojmenovala servisní účet.

Pravidla skupin přicházejí nakonec

Autorizace probíhá po úspěšných připojeních, takže kontrola skupiny nemůže být příčinou selhání připojení a odebrání požadavku na skupinu ho nemůže opravit. Pokud se přihlášení nyní dostane do fáze skupin, zbývajícím problémem je členství, ne přihlašovací údaje.

Přidělení širokých práv v adresáři servisnímu účtu, aby chyba zmizela, mění zásady přístupu celého nasazení. Berte to jako bezpečnostní rozhodnutí s vlastní revizí, ne jako opravu zprávy, kterou jste ještě nepřiřadili identitě.