Այդ LDAP գաղտնաբառի սխալը կարող է ընդհանրապես օգտվողի գաղտնաբառը չլինել
bind-ի ձախողումը կարող է գալ ծառայության հաշվից կամ որոնման տիրույթից, ոչ թե օգտվողից։ Առանձնացրե՛ք bind-երը՝ նախքան որևէ մեկի գաղտնաբառը վերականգնելը։
Օգտվողի գաղտնաբառի վերականգնումը սխալ առաջին քայլն է, երբ մատյանը միայն ասում է, որ bind-ը մերժվել է։ Ուղեցույցի հավելվածով մեկ մուտքի մեջ մեկից ավելի bind կա, և մերժումը կարող է պատկանել որոնումը կատարող ծառայության հաշվին։ Այդ դեպքում օգտվողի հավատարմագրերի վերականգնումը ոչինչ չի փոխում։ Այն նաև կողպում է դուրս մեկին, ով երբեք խնդիրը չի եղել։
Մեկ մուտք, մի քանի bind
Առանձին ուղեցույցի հաշիվ ունեցող կարգավորումը սովորաբար կատարում է չորս քայլ հերթականությամբ, և դրանցից ցանկացածը կարող է ավարտել մուտքը։
connect to the directory and establish the configured TLS protection
bind as the configured service account
search for the user entry using the search base and filter
open a second connection and bind as that user, then evaluate groupsՀավելվածը կառուցում է օգտվողի նույնականացման միացումը նույն օգնականի միջոցով, որը զբաղվում է առաջին միացմամբ, ուստի այդ օգնականը կարող է ձախողվել միանալիս, TLS-ի բանակցության ժամանակ կամ ծառայության հաշվի ներքո bind կատարելիս։ Գաղտնաբառի մասին բարձր մակարդակի հաղորդագրությունը ստեղծվում է ավելի ուշ և չի կրում, թե որ ինքնությունն է ներգրավված եղել։ Այդ պատճառով միայն սխալի տեքստը չի կարող ասել՝ մերժվել է օգտվողը, թե ծառայության հաշիվը։
Կարդացե՛ք հաղորդագրությունից առաջ եղած տողերը և նշե՛ք այն պահը, երբ տեղի է ունեցել ձախողումը։ Մեկնարկի ժամանակ, նախքան որևէ օգտվողի գալը, մերժումը ցույց է տալիս կարգավորված հաշիվը կամ վերջնակետը։ Մերժումը, որը երևում է միայն մեկ անձի համար՝ հաջող որոնումից հետո, ցույց է տալիս այդ անձի գրառումը կամ հաշվի վիճակը։
Զուգորդե՛ք սխալը ինքնության հետ
Գործնական կանոնն է երեք բան միասին գրանցել՝ երբ ձախողվեց, որ գործողությունն էր ընթանում և որ ինքնությունը ներկայացվեց։ Առանց այդ եռյակի՝ երկու շատ տարբեր խափանումներ նույնական են թվում մի մատյանում, որը պահում է միայն վերջին նախադասությունը։
| What the log shows | Identity likely refused | First thing to check |
|---|---|---|
| Failure at start-up, no user yet | Service account | DN, password, expiry, lockout |
| Search returns nothing | None, the search scope is wrong | Search base and filter |
| Failure only for one user | That user's entry | Entry state, bind DN, group rules |
Եթե կարգավորված հաշիվը ձախողվում է, ստուգե՛ք այդ հաշիվը և միացումը՝ նախքան որևէ օգտվողի գրառման դիպչելը։ Եթե օգտվողի bind-ը ձախողվում է հաջող որոնումից հետո, ստուգե՛ք որոնման վերադարձրած գրառումը, ոչ թե այն, ինչ ենթադրում էիք, որ կվերադարձնի։ Երկու ուղիները կիսում են մեկ հաղորդագրություն և ուրիշ ոչինչ։ Գրե՛ք, թե որն եք բացառել, որովհետև հաջորդ մարդը հենց դա է հարցնելու։
Տարբերակիչ անունը տվյալ է, ոչ թե ենթադրություն
Անվան բաղադրիչը փոխելը, որովհետև այն անծանոթ է թվում, աշխատող կարգավորումը կոտրելու սովորական ձև է։ Active Directory-ում օգտվողի օբյեկտների լռելյայն տեղը Users անունով կոնտեյներն է, և կոնտեյները նույն տեսակի օբյեկտ չէ, ինչ նման անունով կազմակերպական միավորը։
Խնդրե՛ք ուղեցույցի ադմինիստրատորից հաշվի իրական տարբերակիչ անունը կամ կարդացե՛ք այն հենց օբյեկտից։ Ստորև երկուսն էլ կարող են ճիշտ լինել իրենց ուղեցույցում, դրա համար էլ ոչ մեկը չպետք է հիշողությունից մուտքագրվի։
CN=VPN Bind,CN=Users,DC=corp,DC=example
CN=VPN Bind,OU=Service Accounts,DC=corp,DC=exampleՏեղափոխումը կամ վերանվանումը փոխում է այդ արժեքը, մինչ հաշիվը և գաղտնաբառը մնում են վավեր, այնպես որ նախորդ եռամսյակում աշխատած կարգավորումը կարող է ձախողվել այս մեկում՝ առանց որևէ մեկի հավատարմագրին դիպչելու։ Ցանկացած վերակազմակերպումից հետո համեմատե՛ք կարգավորված տողը ուղեցույցի ընթացիկ ատրիբուտի հետ։ Դա արե՛ք նաև հանգիստ միգրացիայից հետո, ոչ միայն հաղորդված խափանումից հետո։
Որոնման բազան ծառայության հաշիվ չէ
bind-ի ինքնությունը և որոնման բազան տարբեր հարցերի են պատասխանում՝ որպես ով է հավելվածը նույնականանում և որտեղ է մարդկանց փնտրում։ Հաջող bind-ը, որին չի հաջորդում համապատասխան օգտվող, տիրույթի, զտիչի կամ կարդալու թույլտվության խնդիր է, և հաշվի տարբերակիչ անունը օգտվողների բազայով փոխարինելը դրանում ոչինչ չի փոխում։
Հաստատե՛ք, որ ծառայությունը բեռնել է ձեր խմբագրած կարգավորումը, և որ դրա վերջնակետը, TLS վստահությունը և նույնականացման եղանակը համապատասխանում են աշխատող վարչական փորձության։ Ձեռքով որոնումը այլ հաշվով կամ այլ տիրույթի կարգավորիչի դեմ համարժեք փորձ չէ։
Ստուգե՛ք պահված գաղտնիքը և ստուգե՛ք՝ արդյոք հաշիվը միացված է, ժամկետանց կամ արգելափակված, առանց գաղտնաբառը որևէ տեղ տպելու։ Ժամկետանցությունը հեշտ է բաց թողնել, որովհետև հաշիվը շարունակում է աշխատել մինչև այն օրը, երբ այլևս չի աշխատում։ Չկապված ծառայությունից ժառանգված արգելափակումը նույնքան լուռ է։ Երկու պայմաններից ոչ մեկը չի ստեղծում հաղորդագրություն, որը նշում է ծառայության հաշիվը։
Խմբի կանոնները գալիս են վերջում
Լիազորումը կատարվում է bind-երի հաջողությունից հետո, ուստի խմբի ստուգումը չի կարող bind-ի ձախողման պատճառ լինել, և խմբի պահանջը հեռացնելը չի կարող վերականգնել այն։ Եթե մուտքն այժմ հասնում է խմբի փուլին, մնացած խնդիրը անդամակցությունն է, ոչ թե հավատարմագրերը։
Ծառայության հաշվին լայն ուղեցույցի իրավունքներ տալը, որպեսզի սխալը վերանա, փոխում է ամբողջ տեղակայման մուտքի քաղաքականությունը։ Վերաբերվե՛ք դրան որպես անվտանգության որոշման՝ իր սեփական վերանայմամբ, ոչ թե որպես լուծում մի հաղորդագրության համար, որը դեռ չեք վերագրել ինքնությանը։