Dat LDAP-wachtwurdflater hoecht net it wachtwurd fan de brûker te wêzen
In bind-flater kin fan it tsjinstaccount of fan it sykberik komme, net fan de brûker. Skied de binds foardat jo it wachtwurd fan immen weromsette.
It wachtwurd fan in brûker weromsette is de ferkearde earste set as it logboek allinnich seit dat in bind wegere is. By in map-ynstekprogram is der mear as ien bind yn ien oanmelding, en de wegering kin by it tsjinstaccount hearre dat de sykopdracht docht. It weromsetten fan de oanmeldgegevens fan de brûker feroaret dan neat. It slút ek immen bûten dy't nea it probleem wie.
Ien oanmelding, ferskate binds
In konfiguraasje mei in ta wije mapaccount docht meastentiids fjouwer stappen yn oarder, en elk dêrfan kin de oanmelding einigje.
connect to the directory and establish the configured TLS protection
bind as the configured service account
search for the user entry using the search base and filter
open a second connection and bind as that user, then evaluate groupsIt ynstekprogram bout syn ferbining foar brûkersautentikaasje fia deselde helper dy't de earste ferbining ôfhannelet, dat dy helper kin misse by it ferbinen, by it ûnderhanneljen fan TLS of by it binden as it tsjinstaccount. It berjocht op heech nivo oer in wachtwurd wurdt letter makke en draacht net hokker identiteit belutsen wie. Dêrom kin de flaterskriuwerij allinnich net sizze oft de brûker of it tsjinstaccount wegere is.
Lês de rigels foar it berjocht en notearje it momint dat de flater barde. In wegering by it opstarten, foardat in brûker komt, wiist op it konfigurearre account of it einpunt. In wegering dy't allinnich foar ien persoan ferskynt, nei in slagge sykopdracht, wiist op de ynfier of de accountstatus fan dy persoan.
Keppelje de flater oan in identiteit
De praktyske regel is trije dingen tegearre fêst te lizzen: wannear't it mislearre, hokker operaasje rûn en hokker identiteit presintearre waard. Sûnder dat trijetal lykje twa hiel ferskillende flaters itselde yn in logboek dat allinnich de lêste sin hâldt.
| What the log shows | Identity likely refused | First thing to check |
|---|---|---|
| Failure at start-up, no user yet | Service account | DN, password, expiry, lockout |
| Search returns nothing | None, the search scope is wrong | Search base and filter |
| Failure only for one user | That user's entry | Entry state, bind DN, group rules |
As it konfigurearre account mist, ûndersykje dat account en de ferbining foardat jo ien brûkersrecord oanreitsje. As it bind fan de brûker mist nei in slagge sykopdracht, ûndersykje dan de ynfier dy't de sykopdracht weromjoech, net dy't jo tochten dat it weromjaan soe. De beide paden diele in berjocht en neat oars. Skriuw op hokker jo útsletten hawwe, want de folgjende persoan sil krekt dat freegje.
De ûnderskiedende namme is datum, gjin gissing
In namme-ûnderdiel feroarje omdat it ûngewoan liket, is in gewoane manier om in wurkjende konfiguraasje te brekken. De standertlokaasje foar brûkersobjekten yn Active Directory is in kontener mei de namme Users, en in kontener is net itselde soarte objekt as in organisatoaryske ienheid mei in ferlykbere namme.
Freegje de mapbehearder om de wiere ûnderskiedende namme fan it account, of lês dy út it objekt sels. Beide fan de folgjende kinne yn har eigen map korrekt wêze, dêrom moat gjin fan beide út it ûnthâld yntype wurde.
CN=VPN Bind,CN=Users,DC=corp,DC=example
CN=VPN Bind,OU=Service Accounts,DC=corp,DC=exampleIn ferhuzing of in omneaming feroaret dy wearde wylst it account en it wachtwurd jildich bliuwe, dat in konfiguraasje dy't ferline fearnsjier wurke koe dit fearnsjier misse sûnder dat immen oanmeldgegevens oanreiset. Fergelykje de konfigurearre tekenrige mei it hjoeddeiske attribút fan de map nei elke werynrjochting. Doch it ek nei in stille migraasje, net allinnich nei in rapportearre steuring.
In sykbasis is gjin tsjinstaccount
De bind-identiteit en de sykbasis beantwurdzje ferskillende fragen: as wa't it ynstekprogram autentisearret en wêr't it minsken siket. In slagge bind folge troch gjin oerienkommende brûker is in berik-, filter- of lêsrjochtprobleem, en it ferfangen fan de ûnderskiedende namme fan it account troch de basis fan de brûkers feroaret dêroan neat.
Befêstigje dat de tsjinst de konfiguraasje laden hat dy't jo bewurke hawwe en dat syn einpunt, TLS-fertrouwen en autentikaasjemodus oerienkomme mei in wurkjende bestjoerlike test. In hânmjittige sykopdracht mei in oar account, of tsjin in oare domeinkontrôler, is gjin lykweardich eksperimint.
Kontrolearje it bewarre geheim en kontrolearje oft it account ynskeakele, ferfallen of beskoattele is, sûnder it wachtwurd earne te printsjen. Ferfalle is maklik te missen omdat it account wurket oant de dei dat it net mear wurket. In beskoatteling dy't fan in net besibbe tsjinst erfd is, is like stil. Gjin fan beide betingsten produsearret in berjocht dat it tsjinstaccount neamt.
Groepsregels komme it lêst
Autorisaasje rint neidat de binds slagje, dus in groepskontrôle kin gjin oarsaak wêze fan in bind-flater, en it fuortheljen fan de groepseask jout dy net reparearre. As de oanmelding no it groepstadium berikt, is it oerbleaune probleem lidmaatskip, net oanmeldgegevens.
It tsjinstaccount brede maprjochten jaan om de flater ferdwine te litten feroaret it tagongbelied fan 'e hiele útrulling. Behannele dat as in feiligensbeslút mei syn eigen beoardieling, net as in oplossing foar in berjocht dat jo noch net oan in identiteit taskreaun hawwe.