Þessi LDAP-lykilorðsvilla er kannski alls ekki lykilorð notandans

Að endurstilla lykilorð notanda er rangi fyrsti liðurinn þegar annállinn segir aðeins að bind hafi verið hafnað. Með viðbót fyrir skrá er meira en eitt bind í einni innskráningu, og höfnunin getur tilheyrt þjónustureikningnum sem framkvæmir leitina. Að endurstilla auðkenni notandans breytir engu í því tilviki. Það lokar líka úti einhverjum sem var aldrei vandamálið.

Ein innskráning, mörg bind

Uppsetning með sérstökum skrárreikningi framkvæmir venjulega fjögur skref í röð, og hvert þeirra getur endað innskráninguna.

connect to the directory and establish the configured TLS protection
bind as the configured service account
search for the user entry using the search base and filter
open a second connection and bind as that user, then evaluate groups

Viðbótin byggir auðkenningartengingu notandans í gegnum sama hjálparforritið og sér um fyrstu tenginguna, svo það getur bilað við tengingu, við samningaviðræður um TLS eða við bind sem þjónustureikningurinn. Skilaboðin á hærra stigi um lykilorð eru búin til síðar og bera ekki hvaða auðkenni átti hlut að máli. Þess vegna getur villutextinn einn og sér ekki sagt þér hvort notandanum eða þjónustureikningnum var hafnað.

Lestu línurnar fyrir skilaboðin og skráðu augnablikið þegar bilunin átti sér stað. Höfnun við ræsingu, áður en nokkur notandi kemur, bendir á uppsettan reikning eða endapunktinn. Höfnun sem birtist aðeins fyrir einn einstakling, eftir árangursríka leit, bendir á færslu eða reikningsstöðu þess einstaklings.

Paraðu villuna við auðkenni

Hagnýta reglan er að skrá þrjá hluti saman: hvenær það bilaði, hvaða aðgerð var í gangi og hvaða auðkenni var kynnt. Án þessara þriggja líta tvær mjög ólíkar bilanir eins út í annáli sem geymir aðeins síðustu setninguna.

Ef uppsettur reikningur bilar, skoðaðu þann reikning og tenginguna áður en þú snertir nokkra notandafærslu. Ef bind notandans bilar eftir árangursríka leit, skoðaðu færsluna sem leitin skilaði, ekki þá sem þú reiknaðir með að hún skilaði. Leiðirnar tvær deila skilaboðum og engu öðru. Skráðu hvora þú útilokaðir, því næsti maður mun spyrja einmitt þess.

Aðgreint nafn er gögn, ekki ágiskun

Að breyta nafnhluta vegna þess að hann virðist ókunnugur er algeng leið til að brjóta uppsetningu sem virkar. Sjálfgefin staðsetning notandahluta í Active Directory er geymir sem heitir Users, og geymir er ekki sama tegund hlutar og skipulagsheild með svipuðu nafni.

Biddu skrárstjórann um raunverulegt aðgreint nafn reikningsins, eða lestu það úr hlutnum sjálfum. Bæði eftirfarandi geta verið rétt í sinni eigin skrá, þess vegna ætti ekkert þeirra að vera slegið inn úr minni.

CN=VPN Bind,CN=Users,DC=corp,DC=example
CN=VPN Bind,OU=Service Accounts,DC=corp,DC=example

Flutningur eða endurnefning breytir því gildi á meðan reikningurinn og lykilorðið halda gildi sínu, svo uppsetning sem virkaði síðasta ársfjórðung getur bilað þennan án þess að nokkur snerti auðkenni. Berðu saman uppsetta strenginn við núverandi eiginleika skrárinnar eftir hvers kyns endurskipulagningu. Gerðu það líka eftir hljóðláta flutning, ekki aðeins eftir tilkynnta truflun.

Leitargrunnur er ekki þjónustureikningur

Bind-auðkennið og leitargrunnurinn svara mismunandi spurningum: sem hver viðbótin auðkennir sig og hvar hún leitar að fólki. Árangursríkt bind án samsvarandi notanda er vandamál um svæði, síu eða lesheimild, og að skipta út aðgreindu nafni reikningsins fyrir grunni notendanna breytir engu um það.

Staðfestu að þjónustan hafi hlaðið uppsetningunni sem þú breyttir og að endapunktur hennar, TLS-traust og auðkenningarhamur passi við vinnandi stjórnunarprófun. Handvirk leit með öðrum reikningi, eða gegn öðrum lénsstýri, er ekki jafngild tilraun.

Athugaðu geymda leyndarmálið og athugaðu hvort reikningurinn sé virkur, útrunninn eða læstur, án þess að prenta lykilorðið hvar sem er. Auðvelt er að missa af útrunni því reikningurinn heldur áfram að virka þar til dagurinn sem hann gerir það ekki. Læsing sem er erfð frá ótengdri þjónustu er jafn hljóðlát. Hvorugt skilyrðið framleiðir skilaboð sem nefna þjónustureikninginn.

Hópreglur koma síðast

Heimild keyrir eftir að bindin heppnast, svo hópskoðun getur ekki verið orsök bind-bilunar, og að fjarlægja hópkröfuna getur ekki lagað hana. Ef innskráningin nær nú hópskeiðinu er vandamálið sem eftir stendur aðild, ekki auðkenni.

Að veita þjónustureikningnum víðtæk skrárréttindi svo villan hverfi breytir aðgangastefnu allrar uppsetningarinnar. Meðhöndlaðu það sem öryggisákvörðun með eigin endurskoðun, ekki sem lagfæringu á skilaboðum sem þú hefur ekki enn tengt auðkenni.