LDAP pasahitz errore hori agian ez da erabiltzailearen pasahitza izango
Bind huts egite bat zerbitzu-kontutik edo bilaketa-eremutik etor daiteke, ez erabiltzailetik. Bereizi bind-ak inoren pasahitza berrezarri aurretik.
Erabiltzaile baten pasahitza berrezartzea lehenengo mugimendu okerra da erregistroak bind bat baztertu zela baino esaten ez duenean. Direktorio-plugin batekin bind bat baino gehiago dago saio-hasiera bakar batean, eta baztertzea bilaketa egiten duen zerbitzu-kontuarena izan daiteke. Kasu horretan erabiltzailearen kredentzialak berrezartzeak ez du ezer aldatzen. Gainera, inoiz arazoa izan ez den norbait kanpoan uzten du.
Saio bat, hainbat bind
Direktorio-kontu dedikatu bat duen konfigurazioak normalean lau urrats egiten ditu ordenan, eta horietako edozeinek amaitu dezake saioa.
connect to the directory and establish the configured TLS protection
bind as the configured service account
search for the user entry using the search base and filter
open a second connection and bind as that user, then evaluate groupsPluginak erabiltzaile-autentifikaziorako konexioa lehen konexioa kudeatzen duen laguntzaile berberaren bidez eraikitzen du, beraz laguntzaile horrek huts egin dezake konektatzean, TLS negoziatzean edo zerbitzu-kontu gisa bind egitean. Pasahitzari buruzko goi-mailako mezua geroago sortzen da, eta ez du eramaten zein identitate zegoen tartean. Horregatik, errore-testuak bakarrik ezin du esan erabiltzailea edo zerbitzu-kontua baztertu zen.
Irakurri mezuaren aurreko lerroak, eta idatzi hutsegitea gertatu zen unea. Abiaraztean, erabiltzaile bat ere iritsi aurretik, gertatutako baztertzeak konfiguratutako kontua edo endpoint-a seinalatzen du. Pertsona bakarrari, bilaketa arrakastatsu baten ondoren, agertzen zaion baztertzeak pertsona horren erregistroa edo kontu-egoera seinalatzen du.
Lotu errorea identitate batekin
Arau praktikoa hiru gauza elkarrekin erregistratzea da: noiz huts egin zuen, zein eragiketa zegoen martxan eta zein identitate aurkeztu zen. Hiruko hori gabe, oso desberdinak diren bi hutsegite berdinak dirudite azken esaldia baino gordetzen ez duen erregistro batean.
| What the log shows | Identity likely refused | First thing to check |
|---|---|---|
| Failure at start-up, no user yet | Service account | DN, password, expiry, lockout |
| Search returns nothing | None, the search scope is wrong | Search base and filter |
| Failure only for one user | That user's entry | Entry state, bind DN, group rules |
Konfiguratutako kontuak huts egiten badu, aztertu kontu hori eta konexioa erabiltzaileen erregistroen bat ukitu aurretik. Erabiltzailearen bind-ak bilaketa arrakastatsu baten ondoren huts egiten badu, aztertu bilaketak itzulitako erregistroa, itzuliko zuela pentsatu zenuenaren ordez. Bi bideek mezu bat partekatzen dute eta besterik ez. Idatzi zein baztertu zenuen, hurrengo pertsonak hain zuzen hori galdetuko baitu.
Izen bereizgarria datua da, ez susmoa
Izen-osagai bat aldatzea ezaguna ez delako itxura duelako konfigurazio funtzional bat hausteko modu ohikoa da. Active Directory-n erabiltzaile-objektuen kokapen lehenetsia Users izeneko edukiontzi bat da, eta edukiontzi bat ez da izen antzeko bat duen erakunde-unitate baten objektu mota bera.
Eskatu direktorio-administratzaileari kontuaren benetako izen bereizgarria, edo irakurri objektutik bertatik. Hurrengo biak zuzenak izan daitezke beren direktorioan, eta horregatik bat ere ez litzateke memoriatik idatzi behar.
CN=VPN Bind,CN=Users,DC=corp,DC=example
CN=VPN Bind,OU=Service Accounts,DC=corp,DC=exampleMugimendu edo berrizendatze batek balio hori aldatzen du kontua eta pasahitza baliozkoak diren bitartean, beraz aurreko hiruhilekoan funtzionatu zuen konfigurazioak huts egin dezake honetan, inork kredentzialik ukitu gabe. Konparatu konfiguratutako katea direktorioaren uneko atributuarekin berrantolaketaren ondoren. Egin ezazu migrazio isil baten ondoren ere, ez bakarrik jakinarazitako etendura baten ondoren.
Bilaketa-oinarria ez da zerbitzu-kontua
Bind-identitateak eta bilaketa-oinarriak galdera desberdinak erantzuten dituzte: pluginak noren izenean autentifikatzen duen eta non bilatzen dituen pertsonak. Bind arrakastatsu batek eta bat datorren erabiltzailerik ez egoteak eremu, iragazki edo irakurketa-baimen arazoa adierazten du, eta kontuaren izen bereizgarria erabiltzaileen oinarriagatik ordezteak ez du ezer aldatzen horretan.
Egiaztatu zerbitzuak editatu duzun konfigurazioa kargatu duela eta bere endpoint-ak, TLS konfiantzak eta autentifikazio moduak funtzionatzen duen administrazio-proba batekin bat datozela. Beste kontu batekin edo beste domeinu-kontrolatzaile baten aurka egindako eskuzko kontsulta ez da esperimentu baliokidea.
Egiaztatu gordetako sekretua, eta egiaztatu kontua gaituta, iraungita edo blokeatuta dagoen, pasahitza inon inprimatu gabe. Iraungitzea erraza da ez nabaritzea, kontuak funtzionatzen jarraitzen baitu funtzionatzeari uzten dion egunera arte. Zerbitzu erlazionatu gabe batetik heredatutako blokeo bat bezain isila da. Bi baldintzetako batek ere ez du zerbitzu-kontua izendatzen duen mezurik sortzen.
Talde-arauak azkenak dira
Baimena bind-ak arrakastatsuak izan ondoren exekutatzen da, beraz talde-egiaztapen bat ezin da bind hutsegite baten kausa izan, eta talde-baldintza kentzeak ezin du konpondu. Saioak orain talde-fasera iristen bada, gainerako arazoa partaidetza da, ez kredentzialak.
Zerbitzu-kontuari direktorio-eskubide zabalak emateak, errorea desagertzeko, zabalkunde osoaren sarbide-politika aldatzen du. Hartu hori segurtasun-erabaki gisa, bere berrikuspenarekin, eta ez identitate bati oraindik egotzi ez diozun mezu baterako konponbide gisa.