Tuo LDAP-salasanavirhe ei välttämättä johdu käyttäjän salasanasta

Käyttäjän salasanan nollaaminen on väärä ensimmäinen liike, kun loki kertoo vain, että bind hylättiin. Hakemistolisäosalla yhdessä kirjautumisessa on useampi kuin yksi bind, ja hylkäys voi kuulua palvelutilille, joka tekee haun. Käyttäjän tunnistetietojen nollaaminen ei siinä tapauksessa muuta mitään. Se myös lukitsee ulos jonkun, joka ei koskaan ollut ongelma.

Yksi kirjautuminen, useita bindiä

Kokoonpano, jossa on erillinen hakemistotili, tekee yleensä neljä vaihetta järjestyksessä, ja mikä tahansa niistä voi päättää kirjautumisen.

connect to the directory and establish the configured TLS protection
bind as the configured service account
search for the user entry using the search base and filter
open a second connection and bind as that user, then evaluate groups

Lisäosa rakentaa käyttäjän todennusyhteytensä saman apurin kautta, joka hoitaa ensimmäistä yhteyttä, joten apuri voi epäonnistua yhdistettäessä, TLS:ää neuvoteltaessa tai bindattaessa palvelutilinä. Salasanaa koskeva korkean tason viesti luodaan myöhemmin, eikä se kerro, mikä identiteetti oli mukana. Siksi pelkkä virheteksti ei voi kertoa, hylättiinkö käyttäjä vai palvelutili.

Lue viestiä edeltävät rivit ja merkitse muistiin hetki, jolloin virhe tapahtui. Hylkäys käynnistyksen yhteydessä ennen kuin yhtään käyttäjää saapuu viittaa määritettyyn tiliin tai päätepisteeseen. Hylkäys, joka näkyy vain yhdelle henkilölle onnistuneen haun jälkeen, viittaa tuon henkilön tietueeseen tai tilin tilaan.

Yhdistä virhe identiteettiin

Käytännön sääntö on kirjata kolme asiaa yhteen: milloin se epäonnistui, mikä toiminto oli käynnissä ja mikä identiteetti esitettiin. Ilman tätä kolmikkoa kaksi hyvin erilaista vikaa näyttää samalta lokissa, joka säilyttää vain viimeisen lauseen.

Jos määritetty tili epäonnistuu, tarkasta se tili ja yhteys ennen kuin kosket mihinkään käyttäjätietueeseen. Jos käyttäjän bind epäonnistuu onnistuneen haun jälkeen, tutki hakutuloksena palautettua tietuetta etkä sitä, jonka oletit palautuvan. Nämä kaksi polkua jakavat viestin eivätkä mitään muuta. Kirjoita ylös, kumman suljit pois, koska seuraava henkilö kysyy juuri sitä.

Erottelunimi on dataa, ei arvaus

Nimen osan muuttaminen siksi, että se näyttää vieraalta, on tavallinen tapa rikkoa toimiva kokoonpano. Käyttäjäobjektien oletussijainti Active Directoryssa on Users-niminen säilö, eikä säilö ole samaa objektityyppiä kuin samanniminen organisaatioyksikkö.

Pyydä hakemistoylläpitäjältä tilin todellinen erottelunimi tai lue se objektista itsestään. Molemmat seuraavista voivat olla oikein omassa hakemistossaan, minkä vuoksi kumpaakaan ei pitäisi kirjoittaa muistista.

CN=VPN Bind,CN=Users,DC=corp,DC=example
CN=VPN Bind,OU=Service Accounts,DC=corp,DC=example

Siirto tai uudelleennimeäminen muuttaa tuota arvoa, kun taas tili ja salasana pysyvät voimassa, joten viime neljänneksellä toiminut kokoonpano voi epäonnistua tällä ilman, että kukaan koskee tunnistetietoihin. Vertaa määritettyä merkkijonoa hakemiston nykyiseen attribuuttiin minkä tahansa uudelleenjärjestelyn jälkeen. Tee se myös hiljaisen muuton jälkeen, ei vain raportoidun katkoksen jälkeen.

Hakukanta ei ole palvelutili

Bind-identiteetti ja hakukanta vastaavat eri kysymyksiin: kenenä lisäosa todentaa ja mistä se etsii ihmisiä. Onnistunut bind ilman yhtään vastaavaa käyttäjää on laajuus-, suodatin- tai lukuoikeusongelma, eikä tilin erottelunimen korvaaminen käyttäjien kannalla muuta siinä mitään.

Varmista, että palvelu latasi muokkaamasi kokoonpanon ja että sen päätepiste, TLS-luottamus ja todennustila vastaavat toimivaa hallinnollista testiä. Manuaalinen haku toisella tilillä tai toista toimialueen ohjainta vasten ei ole vastaava koe.

Tarkasta tallennettu salaisuus ja tarkasta, onko tili käytössä, vanhentunut vai lukittu, tulostamatta salasanaa mihinkään. Vanheneminen on helppo jättää huomaamatta, koska tili toimii siihen päivään asti, jolloin se ei enää toimi. Epäolennaisesta palvelusta peritty lukitus on yhtä hiljainen. Kumpikaan ehto ei tuota viestiä, joka nimeäisi palvelutilin.

Ryhmäsäännöt tulevat viimeisenä

Valtuutus suoritetaan sen jälkeen, kun bindit onnistuvat, joten ryhmätarkistus ei voi olla bind-virheen syy, eikä ryhmävaatimuksen poistaminen voi korjata sitä. Jos kirjautuminen yltää nyt ryhmävaiheeseen, jäljellä oleva ongelma on jäsenyys, ei tunnistetiedot.

Palvelutilille laajojen hakemisto-oikeuksien myöntäminen virheen häivyttämiseksi muuttaa koko käyttöönoton käyttöoikeuskäytäntöä. Käsittele sitä turvallisuuspäätöksenä, jolla on oma tarkastuksensa, älä korjauksena viestille, jota et ole vielä liittänyt identiteettiin.