Ese erro de contrasinal LDAP pode que non sexa o contrasinal do usuario
Un fallo de bind pode vir da conta de servizo ou do ámbito de busca, non do usuario. Separe os bind antes de restablecer o contrasinal de ninguén.
Restablecer o contrasinal dun usuario é o primeiro movemento equivocado cando o rexistro só di que se rexeitou un bind. Cun complemento de directorio hai máis dun bind nunha soa sesión, e o rexeitamento pode pertencer á conta de servizo que realiza a busca. Restablecer as credenciais do usuario nese caso non cambia nada. Tamén deixa fóra a alguén que nunca foi o problema.
Unha sesión, varios bind
Unha configuración cunha conta de directorio dedicada adoita realizar catro pasos en orde, e calquera deles pode rematar a sesión.
connect to the directory and establish the configured TLS protection
bind as the configured service account
search for the user entry using the search base and filter
open a second connection and bind as that user, then evaluate groupsO complemento constrúe a súa conexión de autenticación de usuario mediante o mesmo axudante que xestiona a primeira conexión, polo que ese axudante pode fallar ao conectar, ao negociar TLS ou ao facer bind como a conta de servizo. A mensaxe de alto nivel sobre un contrasinal xérase despois e non indica que identidade estaba implicada. Por iso o texto do erro por si só non pode dicirlle se se rexeitou o usuario ou a conta de servizo.
Lea as liñas anteriores á mensaxe e anote o momento en que se produciu o fallo. Un rexeitamento ao arrincar, antes de que chegue ningún usuario, apunta á conta configurada ou ao punto de conexión. Un rexeitamento que aparece só para unha persoa, tras unha busca correcta, apunta á entrada ou ao estado de conta desa persoa.
Emparelle o erro cunha identidade
A regra práctica é rexistrar tres cousas xuntas: cando fallou, que operación estaba en execución e que identidade se presentou. Sen ese triplo, dous fallos moi distintos parecen idénticos nun rexistro que só conserva a frase final.
| What the log shows | Identity likely refused | First thing to check |
|---|---|---|
| Failure at start-up, no user yet | Service account | DN, password, expiry, lockout |
| Search returns nothing | None, the search scope is wrong | Search base and filter |
| Failure only for one user | That user's entry | Entry state, bind DN, group rules |
Se falla a conta configurada, inspeccione esa conta e a conexión antes de tocar calquera rexistro de usuario. Se falla o bind do usuario tras unha busca correcta, examine a entrada que devolveu a busca en lugar da que supuxo que devolvería. Os dous camiños comparten unha mensaxe e nada máis. Anote cal descartou, porque a seguinte persoa preguntará exactamente iso.
O nome distinguido é un dato, non unha suposición
Cambiar un compoñente do nome porque parece pouco familiar é unha forma habitual de romper unha configuración que funciona. A localización predeterminada dos obxectos de usuario en Active Directory é un contedor chamado Users, e un contedor non é o mesmo tipo de obxecto que unha unidade organizativa cun nome similar.
Pida ao administrador do directorio o nome distinguido real da conta, ou lea o do propio obxecto. Ambos os seguintes poden ser correctos no seu propio directorio, polo que ningún debería escribirse de memoria.
CN=VPN Bind,CN=Users,DC=corp,DC=example
CN=VPN Bind,OU=Service Accounts,DC=corp,DC=exampleUn movemento ou un cambio de nome modifica ese valor mentres a conta e o contrasinal seguen sendo válidos, así que unha configuración que funcionaba o trimestre pasado pode fallar este sen que ninguén toque unha credencial. Compare a cadea configurada co atributo actual do directorio despois de calquera reorganización. Fágao tamén tras unha migración silenciosa, non só despois dunha caída reportada.
Unha base de busca non é unha conta de servizo
A identidade de bind e a base de busca responden a preguntas distintas: como quen se autentica o complemento e onde busca persoas. Un bind correcto seguido de ningún usuario coincidente é un problema de ámbito, filtro ou permiso de lectura, e substituír o nome distinguido da conta pola base dos usuarios non cambia nada niso.
Confirme que o servizo cargou a configuración que editou e que o seu punto de conexión, confianza TLS e modo de autenticación coinciden cunha proba administrativa que funcione. Unha consulta manual con outra conta, ou contra outro controlador de dominio, non é un experimento equivalente.
Comprobe o segredo almacenado e comprobe se a conta está habilitada, caducada ou bloqueada, sen imprimir o contrasinal en ningún sitio. A caducidade é fácil de pasar por alto porque a conta segue funcionando ata o día en que deixa de facelo. Un bloqueo herdado dun servizo non relacionado é igual de silencioso. Ningunha das dúas condicións produce unha mensaxe que nomee a conta de servizo.
As regras de grupo van ao final
A autorización execútase despois de que os bind teñan éxito, así que unha comprobación de grupo non pode ser a causa dun fallo de bind, e eliminar o requisito de grupo non pode reparalo. Se a sesión chega agora á etapa do grupo, o problema restante é a pertenza, non as credenciais.
Conceder á conta de servizo amplos dereitos de directorio para facer desaparecer o erro cambia a política de acceso de todo o despregamento. Tráteo como unha decisión de seguridade coa súa propia revisión, non como unha solución para unha mensaxe que aínda non atribuíu a unha identidade.