Бұл LDAP құпиясөз қатесі пайдаланушының құпиясөзі болмауы мүмкін
bind қатесі қызметтік тіркелгіден немесе іздеу аясынан келуі мүмкін, пайдаланушыдан емес. Біреудің құпиясөзін қайта орнатпас бұрын bind-терді ажыратыңыз.
Журнал тек bind қабылданбағанын айтқанда пайдаланушының құпиясөзін қайта орнату — қате бірінші қадам. Каталог плагинінде бір кіруде бірнеше bind болады, ал бас тарту іздеуді орындайтын қызметтік тіркелгіге тиесілі болуы мүмкін. Бұл жағдайда пайдаланушының тіркелгі деректерін қайта орнату ештеңені өзгертпейді. Ол тіпті ешқашан мәселе болмаған адамды да құлыптап тастайды.
Бір кіру, бірнеше bind
Бөлінген каталог тіркелгісі бар конфигурация әдетте төрт қадамды ретімен орындайды және олардың кез келгені кіруді аяқтай алады.
connect to the directory and establish the configured TLS protection
bind as the configured service account
search for the user entry using the search base and filter
open a second connection and bind as that user, then evaluate groupsПлагин пайдаланушыны аутентификациялау қосылымын бірінші қосылымды өңдейтін сол көмекші арқылы құрады, сондықтан ол көмекші қосылу кезінде, TLS келіссөздері кезінде немесе қызметтік тіркелгі ретінде bind кезінде істен шығуы мүмкін. Құпиясөз туралы жоғары деңгейлі хабарлама кейінірек жасалады және қай сәйкестік қатысқанын жеткізбейді. Сондықтан қате мәтіні ғана пайдаланушының әлде қызметтік тіркелгінің қабылданбағанын айта алмайды.
Хабарламаға дейінгі жолдарды оқып, сәтсіздік болған сәтті белгілеңіз. Іске қосылу кезінде, ешбір пайдаланушы келмей тұрып болған бас тарту конфигурацияланған тіркелгіге немесе соңғы нүктеге нұсқайды. Сәтті іздеуден кейін бір адамға ғана көрінетін бас тарту сол адамның жазбасына немесе тіркелгі күйіне нұсқайды.
Қатені сәйкестікпен байланыстырыңыз
Практикалық ереже — үш нәрсені бірге жазу: қашан сәтсіз болды, қандай әрекет орындалып жатты және қандай сәйкестік ұсынылды. Осы үштік жоқ болса, тек соңғы сөйлемді сақтайтын журналда екі мүлдем басқа ақау бірдей көрінеді.
| What the log shows | Identity likely refused | First thing to check |
|---|---|---|
| Failure at start-up, no user yet | Service account | DN, password, expiry, lockout |
| Search returns nothing | None, the search scope is wrong | Search base and filter |
| Failure only for one user | That user's entry | Entry state, bind DN, group rules |
Конфигурацияланған тіркелгі сәтсіз болса, кез келген пайдаланушы жазбасына қол тигізбес бұрын сол тіркелгі мен қосылымды тексеріңіз. Егер сәтті іздеуден кейін пайдаланушының bind-і сәтсіз болса, іздеу қайтарған жазбаны тексеріңіз, қайтарады деп күткен жазбаны емес. Екі жол бір хабарламаны ғана бөліседі. Қайсысын жоққа шығарғаныңызды жазыңыз, өйткені келесі адам дәл соны сұрайды.
Айырықша атау — дерек, болжам емес
Атау компонентін таныс емес болып көрінгендіктен өзгерту — жұмыс істеп тұрған конфигурацияны бұзудың жиі жолы. Active Directory-де пайдаланушы нысандарының әдепкі орны — Users деп аталатын контейнер, ал контейнер ұқсас атаулы ұйымдық бірлікпен бірдей нысан түрі емес.
Каталог әкімшісінен тіркелгінің нақты айырықша атауын сұраңыз немесе оны нысанның өзінен оқыңыз. Төмендегілердің екеуі де өз каталогында дұрыс болуы мүмкін, сондықтан ешқайсысын жадтан термеу керек.
CN=VPN Bind,CN=Users,DC=corp,DC=example
CN=VPN Bind,OU=Service Accounts,DC=corp,DC=exampleЖылжыту немесе атауын өзгерту бұл мәнді өзгертеді, ал тіркелгі мен құпиясөз жарамды болып қалады, сондықтан өткен тоқсанда жұмыс істеген конфигурация бұл тоқсанда ешкім тіркелгі деректеріне қол тигізбестен істен шығуы мүмкін. Кез келген қайта ұйымдастырудан кейін конфигурацияланған жолды каталогтың ағымдағы атрибутымен салыстырыңыз. Мұны тыныш көшіруден кейін де жасаңыз, тек хабарланған үзілістен кейін ғана емес.
Іздеу базасы қызметтік тіркелгі емес
bind сәйкестігі мен іздеу базасы әртүрлі сұрақтарға жауап береді: плагин кім ретінде аутентификацияланады және адамдарды қайдан іздейді. Сәтті bind-тен кейін сәйкес пайдаланушының болмауы — ая, сүзгі немесе оқу рұқсатының мәселесі, ал тіркелгінің айырықша атауын пайдаланушылар базасымен ауыстыру бұған ештеңе өзгертпейді.
Қызметтің сіз өңдеген конфигурацияны жүктегенін және оның соңғы нүктесі, TLS сенімі және аутентификация режимі жұмыс істейтін әкімшілік сынаққа сәйкес келетінін растаңыз. Басқа тіркелгімен немесе басқа домен контроллеріне қарсы қолмен іздеу баламалы тәжірибе емес.
Сақталған құпияны тексеріңіз және тіркелгінің қосылғанын, мерзімі өткенін немесе құлыпталғанын құпиясөзді еш жерде басып шығармай тексеріңіз. Мерзімінің өтуін байқамау оңай, өйткені тіркелгі жұмыс істемейтін күнге дейін жұмысын жалғастырады. Байланысы жоқ қызметтен мұраланған құлыптау да сондай тыныш. Бұл екі жағдайдың ешқайсысы қызметтік тіркелгіні атайтын хабарлама шығармайды.
Топ ережелері соңында келеді
Авторизация bind-тер сәтті болғаннан кейін орындалады, сондықтан топ тексерісі bind сәтсіздігінің себебі бола алмайды және топ талабын алып тастау оны түзете алмайды. Егер кіру енді топ кезеңіне жетсе, қалған мәселе — мүшелік, тіркелгі деректері емес.
Қате жойылуы үшін қызметтік тіркелгіге кең каталог құқықтарын беру бүкіл орналастырудың қатынас саясатын өзгертеді. Мұны өз қарауы бар қауіпсіздік шешімі ретінде қарастырыңыз, әлі сәйкестікке жатқызбаған хабарлама үшін түзету ретінде емес.