See LDAP parooliviga ei pruugi üldse olla kasutaja parool

Kasutaja parooli lähtestamine on vale esimene samm, kui logi ütleb ainult, et bind lükati tagasi. Kataloogi pistikprogrammil on ühes sisselogimises rohkem kui üks bind ja tagasilükkamine võib kuuluda teenusekontole, mis otsingu teeb. Kasutaja volituste lähtestamine ei muuda sel juhul midagi. See lukustab välja ka kellegi, kes ei olnud kunagi probleem.

Üks sisselogimine, mitu bind-i

Konfiguratsioon, millel on eraldi kataloogikonto, teeb tavaliselt järjest neli sammu ja ükskõik milline neist võib sisselogimise lõpetada.

connect to the directory and establish the configured TLS protection
bind as the configured service account
search for the user entry using the search base and filter
open a second connection and bind as that user, then evaluate groups

Pistikprogramm ehitab kasutaja autentimisühenduse sama abifunktsiooni kaudu, mis haldab esimest ühendust, seega võib see abifunktsioon nurjuda ühendamisel, TLS-i läbirääkimisel või teenusekontona bind-imisel. Parooli kõrgetasemeline teade luuakse hiljem ega kanna infot selle kohta, milline identiteet oli kaasatud. Seetõttu ei saa veatekst üksi öelda, kas tagasi lükati kasutaja või teenusekonto.

Lugege ridu enne teadet ja märkige üles hetk, mil tõrge juhtus. Tagasilükkamine käivitamisel, enne kui ükski kasutaja saabub, osutab konfigureeritud kontole või lõpp-punktile. Tagasilükkamine, mis ilmub ainult ühele inimesele pärast edukat otsingut, osutab selle inimese kirjele või konto olekule.

Siduge viga identiteediga

Praktiline reegel on kirja panna kolm asja koos: millal see nurjus, milline toiming oli käimas ja milline identiteet esitati. Ilma selle kolmikuta näevad kaks väga erinevat riket logis, mis hoiab alles vaid viimase lause, ühesugused.

Kui konfigureeritud konto nurjub, kontrollige seda kontot ja ühendust enne, kui puudutate ükskõik millist kasutajakirjet. Kui kasutaja bind nurjub pärast edukat otsingut, uurige kirjet, mille otsing tagastas, mitte seda, mille tagastamist te eeldasite. Need kaks rada jagavad teadet ja mitte midagi muud. Kirjutage üles, mille te välistasite, sest järgmine inimene küsib täpselt seda.

Eristusnimi on andmed, mitte oletus

Nimekomponendi muutmine, sest see tundub võõras, on tavaline viis töötava konfiguratsiooni rikkumiseks. Kasutajaobjektide vaikeasukoht Active Directorys on konteiner nimega Users ja konteiner ei ole sama tüüpi objekt kui sarnase nimega organisatsiooniüksus.

Küsige kataloogihaldurilt konto tegelikku eristusnime või lugege see objektist endast. Mõlemad järgmised võivad olla oma kataloogis õiged, mistõttu ei tohiks kumbagi mälu järgi sisestada.

CN=VPN Bind,CN=Users,DC=corp,DC=example
CN=VPN Bind,OU=Service Accounts,DC=corp,DC=example

Liigutamine või ümbernimetamine muudab seda väärtust, samal ajal kui konto ja parool jäävad kehtima, nii et eelmisel kvartalil töötanud konfiguratsioon võib sel kvartalil nurjuda, ilma et keegi volitusi puudutaks. Võrrelge konfigureeritud stringi kataloogi praeguse atribuudiga pärast igasugust ümberkorraldust. Tehke seda ka vaikse migratsiooni järel, mitte ainult teatatud katkestuse järel.

Otsingu baas ei ole teenusekonto

Bind-identiteet ja otsingu baas vastavad erinevatele küsimustele: kellena pistikprogramm autendib ja kust ta inimesi otsib. Edukas bind, millele järgneb sobiva kasutaja puudumine, on ulatuse, filtri või lugemisõiguse probleem, ja konto eristusnime asendamine kasutajate baasiga ei muuda selles midagi.

Kinnitage, et teenus laadis redigeeritud konfiguratsiooni ja et selle lõpp-punkt, TLS-i usaldus ja autentimisrežiim vastavad töötavale haldustestile. Käsitsi otsing teise kontoga või teise domeenikontrolleri vastu ei ole samaväärne katse.

Kontrollige salvestatud saladust ja seda, kas konto on lubatud, aegunud või lukustatud, ilma et parooli kuskil välja prindiksite. Aegumist on lihtne märkamata jätta, sest konto töötab edasi kuni päevani, mil see enam ei tööta. Sõltumatust teenusest päritud lukustus on sama vaikne. Kumbki tingimus ei tooda teadet, mis nimetaks teenusekontot.

Grupireeglid tulevad viimasena

Autoriseerimine käivitub pärast seda, kui bind-id on õnnestunud, seega ei saa grupikontroll olla bind-i tõrke põhjus ja grupitingimuse eemaldamine ei saa seda parandada. Kui sisselogimine jõuab nüüd grupi etapini, on allesjäänud probleem liikmelisus, mitte volitused.

Teenusekontole laiade kataloogiõiguste andmine, et viga kaoks, muudab kogu juurutuse juurdepääsupoliitikat. Käsitlege seda turvaotsusena, millel on oma ülevaatus, mitte parandusena teatele, mida te pole veel identiteediga sidunud.