Efallai nad yw’r gwall cyfrinair LDAP hwn yn gyfrinair y defnyddiwr o gwbl

Ailosod cyfrinair defnyddiwr yw’r cam cyntaf anghywir pan fo’r log yn dweud yn unig fod cysylltiad wedi’i wrthod. Gydag ategyn cyfeiriadur mae mwy nag un cysylltiad mewn un mewngofnod, a gall y gwrthodiad berthyn i’r cyfrif gwasanaeth sy’n gwneud y chwiliad. Nid yw ailosod manylion mewngofnodi’r defnyddiwr yn y sefyllfa honno yn newid dim. Mae hefyd yn cloi rhywun nad oedd erioed yn broblem.

Un mewngofnod, sawl cysylltiad

Mae cyfluniad â chyfrif cyfeiriadur penodol fel arfer yn gwneud pedwar cam yn eu trefn, a gall unrhyw un ohonynt ddod â’r mewngofnod i ben.

connect to the directory and establish the configured TLS protection
bind as the configured service account
search for the user entry using the search base and filter
open a second connection and bind as that user, then evaluate groups

Mae’r ategyn yn codi ei gysylltiad dilysu defnyddiwr drwy’r un helpwr sy’n trin y cysylltiad cyntaf, felly gall y helpwr hwnnw fethu wrth gysylltu, wrth negydu TLS, neu wrth gysylltu fel y cyfrif gwasanaeth. Mae’r neges lefel uchel am gyfrinair yn cael ei chynhyrchu’n ddiweddarach, ac nid yw’n cario pa hunaniaeth oedd yn rhan o’r mater. Dyna pam na all testun y gwall ar ei ben ei hun ddweud wrthych ai’r defnyddiwr neu’r cyfrif gwasanaeth gafodd ei wrthod.

Darllenwch y llinellau o flaen y neges, a nodwch y foment y digwyddodd y methiant. Mae gwrthodiad wrth gychwyn, cyn i unrhyw ddefnyddiwr gyrraedd, yn cyfeirio at y cyfrif cyfluniedig neu at y pwynt diwedd. Mae gwrthodiad sy’n ymddangos ar gyfer un person yn unig, ar ôl chwiliad llwyddiannus, yn cyfeirio at gofnod y person hwnnw neu at gyflwr ei gyfrif.

Parwch y gwall ag hunaniaeth

Y rheol ymarferol yw cofnodi tri pheth gyda’i gilydd: pryd y methodd, pa weithrediad oedd yn rhedeg, a pha hunaniaeth a gyflwynwyd. Heb y triawd hwnnw, mae dau fethiant hollol wahanol yn edrych yn unfath mewn log sy’n cadw dim ond y frawddeg olaf.

Os yw’r cyfrif cyfluniedig yn methu, archwiliwch y cyfrif hwnnw a’r cysylltiad cyn cyffwrdd ag unrhyw gofnod defnyddiwr. Os yw cysylltiad y defnyddiwr yn methu ar ôl chwiliad llwyddiannus, archwiliwch y cofnod a ddychwelwyd gan y chwiliad yn hytrach na’r un y tybiech y byddai’n ei ddychwelyd. Mae’r ddwy lwybr yn rhannu neges a dim byd arall. Nodwch pa un a wnaethoch ei ddiystyru, oherwydd bydd y person nesaf yn gofyn yn union hynny.

Mae’r enw nodedig yn ddata, nid yn ddyfaliad

Mae newid cydran enw oherwydd ei bod yn edrych yn anghyfarwydd yn ffordd gyffredin o dorri cyfluniad sy’n gweithio. Lleoliad diofyn gwrthrychau defnyddiwr yn Active Directory yw cynhwysydd o’r enw Users, ac nid yw cynhwysydd yr un math o wrthrych ag uned drefniadol ag enw tebyg.

Gofynnwch i weinyddwr y cyfeiriadur am enw nodedig gwirioneddol y cyfrif, neu darllenwch ef o’r gwrthrych ei hun. Gall y ddau ganlynol fod yn gywir yn eu cyfeiriadur eu hunain, a dyna pam na ddylid teipio’r un ohonynt o’r cof.

CN=VPN Bind,CN=Users,DC=corp,DC=example
CN=VPN Bind,OU=Service Accounts,DC=corp,DC=example

Mae symud neu ailenwi yn newid y gwerth hwnnw tra bo’r cyfrif a’r cyfrinair yn dal yn ddilys, felly gall cyfluniad a weithiodd y chwarter diwethaf fethu y chwarter hwn heb i neb gyffwrdd â manylyn mewngofnodi. Cymharwch y llinyn cyfluniedig ag attribiwd cyfredol y cyfeiriadur ar ôl unrhyw ad-drefnu. Gwnewch hynny ar ôl mudo tawel hefyd, nid yn unig ar ôl methiant a adroddwyd.

Nid yw sail chwilio yn gyfrif gwasanaeth

Mae hunaniaeth y cysylltiad a’r sail chwilio yn ateb cwestiynau gwahanol: fel pwy mae’r ategyn yn dilysu, a ble mae’n chwilio am bobl. Mae cysylltiad llwyddiannus heb unrhyw ddefnyddiwr cyfatebol yn broblem cwmpas, hidlydd neu ganiatâd darllen, ac nid yw disodli enw nodedig y cyfrif â sail y defnyddwyr yn newid dim am hynny.

Cadarnhewch fod y gwasanaeth wedi llwytho’r cyfluniad y gwnaethoch ei olygu, a bod ei bwynt diwedd, ymddiriedaeth TLS a modd dilysu yn cyfateb i brawf gweinyddol sy’n gweithio. Nid yw chwiliad â llaw â chyfrif gwahanol, nac yn erbyn rheolwr parth gwahanol, yn arbrawf cyfatebol.

Gwiriwch y gyfrinach a storiwyd, a gwiriwch a yw’r cyfrif wedi’i alluogi, wedi dod i ben neu wedi’i gloi, heb argraffu’r cyfrinair yn unman. Mae dod i ben yn hawdd i’w fethu oherwydd bod y cyfrif yn dal i weithio hyd y diwrnod na fydd. Mae cloi a etifeddwyd o wasanaeth digyswllt yr un mor dawel. Nid yw’r un o’r ddau gyflwr yn cynhyrchu neges sy’n enwi’r cyfrif gwasanaeth.

Daw rheolau grŵp yn olaf

Mae awdurdodi yn rhedeg ar ôl i’r cysylltiadau lwyddo, felly ni all gwiriad grŵp fod yn achos methiant cysylltiad, ac ni all tynnu’r gofyniad grŵp ei atgyweirio. Os yw’r mewngofnod yn cyrraedd cam y grŵp nawr, yr anhawster sy’n weddill yw aelodaeth, nid manylion mewngofnodi.

Mae rhoi hawliau cyfeiriadur eang i’r cyfrif gwasanaeth er mwyn i’r gwall ddiflannu yn newid polisi mynediad yr holl ddefnydd. Triniwch hynny fel penderfyniad diogelwch â’i adolygiad ei hun, nid fel trwsio neges nad ydych wedi’i phriodoli i hunaniaeth eto.