Kesalahan kata sandi LDAP itu mungkin bukan kata sandi pengguna sama sekali
Kegagalan bind dapat berasal dari akun layanan atau cakupan pencarian, bukan dari pengguna. Pisahkan bind sebelum mengatur ulang kata sandi siapa pun.
Mengatur ulang kata sandi pengguna adalah langkah pertama yang salah ketika log hanya menyebut bind ditolak. Dengan plugin direktori ada lebih dari satu bind dalam satu proses masuk, dan penolakan itu bisa milik akun layanan yang melakukan pencarian. Mengatur ulang kredensial pengguna dalam kasus itu tidak mengubah apa pun. Itu juga mengunci orang yang tidak pernah menjadi masalah.
Satu proses masuk, beberapa bind
Konfigurasi dengan akun direktori khusus biasanya menjalankan empat langkah secara berurutan, dan salah satunya dapat mengakhiri proses masuk.
connect to the directory and establish the configured TLS protection
bind as the configured service account
search for the user entry using the search base and filter
open a second connection and bind as that user, then evaluate groupsPlugin membangun koneksi autentikasi pengguna melalui helper yang sama yang menangani koneksi pertama, sehingga helper itu dapat gagal saat menghubungkan, saat menegosiasikan TLS, atau saat bind sebagai akun layanan. Pesan tingkat tinggi tentang kata sandi dihasilkan belakangan, dan pesan itu tidak membawa identitas mana yang terlibat. Karena itu teks kesalahan saja tidak dapat memberi tahu Anda apakah pengguna atau akun layanan yang ditolak.
Baca baris sebelum pesan, dan catat saat kegagalan terjadi. Penolakan saat mulai, sebelum ada pengguna datang, menunjuk ke akun yang dikonfigurasi atau titik akhir. Penolakan yang hanya muncul untuk satu orang, setelah pencarian berhasil, menunjuk ke entri atau status akun orang itu.
Pasangkan kesalahan dengan identitas
Aturan praktisnya adalah mencatat tiga hal bersama: kapan gagal, operasi apa yang berjalan, dan identitas apa yang disajikan. Tanpa tiga serangkai itu, dua kesalahan yang sangat berbeda tampak sama dalam log yang hanya menyimpan kalimat terakhir.
| What the log shows | Identity likely refused | First thing to check |
|---|---|---|
| Failure at start-up, no user yet | Service account | DN, password, expiry, lockout |
| Search returns nothing | None, the search scope is wrong | Search base and filter |
| Failure only for one user | That user's entry | Entry state, bind DN, group rules |
Jika akun yang dikonfigurasi gagal, periksa akun itu dan koneksinya sebelum menyentuh catatan pengguna mana pun. Jika bind pengguna gagal setelah pencarian berhasil, periksa entri yang dikembalikan pencarian, bukan entri yang Anda anggap akan dikembalikan. Kedua jalur berbagi satu pesan dan tidak ada lagi. Catat mana yang Anda singkirkan, karena orang berikutnya akan menanyakan tepat itu.
Nama yang dibedakan adalah data, bukan tebakan
Mengubah komponen nama karena tampak asing adalah cara umum merusak konfigurasi yang berfungsi. Lokasi default objek pengguna di Active Directory adalah kontainer bernama Users, dan kontainer bukan jenis objek yang sama dengan unit organisasi bernama serupa.
Mintalah nama yang dibedakan sebenarnya dari akun itu kepada administrator direktori, atau bacalah dari objeknya sendiri. Kedua contoh berikut dapat benar di direktorinya masing-masing, karena itu tidak satu pun boleh diketik dari ingatan.
CN=VPN Bind,CN=Users,DC=corp,DC=example
CN=VPN Bind,OU=Service Accounts,DC=corp,DC=examplePemindahan atau penggantian nama mengubah nilai itu sementara akun dan kata sandi tetap valid, sehingga konfigurasi yang berfungsi kuartal lalu dapat gagal kuartal ini tanpa ada yang menyentuh kredensial. Bandingkan string yang dikonfigurasi dengan atribut direktori saat ini setelah reorganisasi apa pun. Lakukan juga setelah migrasi yang tenang, bukan hanya setelah gangguan yang dilaporkan.
Basis pencarian bukan akun layanan
Identitas bind dan basis pencarian menjawab pertanyaan berbeda: sebagai siapa plugin mengautentikasi dan di mana ia mencari orang. Bind yang berhasil tetapi tidak ada pengguna yang cocok adalah masalah cakupan, filter, atau izin baca, dan mengganti nama yang dibedakan akun dengan basis pengguna tidak mengubah apa pun tentang itu.
Pastikan layanan memuat konfigurasi yang Anda edit dan bahwa titik akhir, kepercayaan TLS, dan mode autentikasinya cocok dengan uji administratif yang berfungsi. Pencarian manual dengan akun lain, atau terhadap pengendali domain lain, bukan eksperimen yang setara.
Periksa rahasia yang disimpan, dan periksa apakah akun diaktifkan, kedaluwarsa, atau terkunci, tanpa mencetak kata sandi di mana pun. Kedaluwarsa mudah terlewat karena akun tetap berfungsi sampai hari ketika tidak lagi. Kuncian yang diwarisi dari layanan tak terkait sama senyapnya. Tidak ada dari kedua kondisi itu yang menghasilkan pesan yang menyebut akun layanan.
Aturan grup datang terakhir
Otorisasi berjalan setelah bind berhasil, jadi pemeriksaan grup tidak dapat menjadi penyebab kegagalan bind, dan menghapus persyaratan grup tidak dapat memperbaikinya. Jika proses masuk kini mencapai tahap grup, masalah yang tersisa adalah keanggotaan, bukan kredensial.
Memberi akun layanan hak direktori yang luas agar kesalahan hilang mengubah kebijakan akses seluruh penerapan. Perlakukan itu sebagai keputusan keamanan dengan tinjauannya sendiri, bukan sebagai perbaikan untuk pesan yang belum Anda kaitkan dengan identitas.