Бул LDAP сырсөз катасы колдонуучунун сырсөзү эмес болушу мүмкүн
bind катасы кызматтык эсептен же издөө аймагынан келиши мүмкүн, колдонуучудан эмес. Бирөөнүн сырсөзүн кайра коюудан мурун bind-терди бөлүңүз.
Журнал bind четке кагылганын гана айтканда колдонуучунун сырсөзүн кайра коюу — туура эмес биринчи кадам. Каталог плагининде бир кирүүдө бирден ашык bind болот, ал эми четке кагуу издөөнү аткарган кызматтык эсепке таандык болушу мүмкүн. Мындай учурда колдонуучунун эсептик маалыматтарын кайра коюу эч нерсени өзгөртпөйт. Ал атүгүл эч качан көйгөй болбогон адамды да кулпулап коёт.
Бир кирүү, бир нече bind
Өзүнчө каталог эсеби бар конфигурация адатта төрт кадамды ирети менен аткарат жана алардын кайсынысы болбосун кирүүнү бүтүрүшү мүмкүн.
connect to the directory and establish the configured TLS protection
bind as the configured service account
search for the user entry using the search base and filter
open a second connection and bind as that user, then evaluate groupsПлагин колдонуучуну аутентификациялоо байланышын биринчи байланышты иштеткен ошол эле жардамчы аркылуу курат, ошондуктан ал жардамчы туташуу учурунда, TLS сүйлөшүүлөрүндө же кызматтык эсеп катары bind учурунда иштен чыгышы мүмкүн. Сырсөз тууралуу жогорку деңгээлдеги билдирүү кийинчерээк түзүлөт жана кайсы инсан катышканын камтыбайт. Ошондуктан ката тексти гана колдонуучу же кызматтык эсеп четке кагылганын айта албайт.
Билдирүүгө чейинки саптарды окуп, иштен чыгуу болгон учурду белгилеңиз. Иштетүү учурунда, эч бир колдонуучу келе электе четке кагуу конфигурацияланган эсепке же акыркы чекитке багыттайт. Ийгиликтүү издөөдөн кийин бир гана адамга көрүнгөн четке кагуу ошол адамдын жазуусуна же эсеп абалына багыттайт.
Катаны инсан менен байланыштырыңыз
Практикалык эреже — үч нерсени чогуу жазуу: качан иштен чыкты, кайсы операция аткарылып жатты жана кайсы инсан тапшырылды. Ушул үчтүк жок болсо, акыркы сүйлөмдү гана сактаган журналда эки абдан башка кемчилик бирдей көрүнөт.
| What the log shows | Identity likely refused | First thing to check |
|---|---|---|
| Failure at start-up, no user yet | Service account | DN, password, expiry, lockout |
| Search returns nothing | None, the search scope is wrong | Search base and filter |
| Failure only for one user | That user's entry | Entry state, bind DN, group rules |
Конфигурацияланган эсеп иштен чыкса, кандайдыр бир колдонуучу жазуусуна тийүүдөн мурун ошол эсепти жана байланышты текшериңиз. Ийгиликтүү издөөдөн кийин колдонуучунун bind-и иштен чыкса, издөө кайтарган жазууну текшериңиз, кайтарат деп күткөн жазууну эмес. Эки жол бир билдирүүнү гана бөлүшөт. Кайсынысын жокко чыгарганыңызды жазыңыз, анткени кийинки адам дал ошону сурайт.
Айырмалоочу ат — берилиш, божомол эмес
Аттын компонентин тааныш эмес көрүнгөндүктөн өзгөртүү — иштеп жаткан конфигурацияны бузуунун кеңири жолу. Active Directory ичинде колдонуучу объектилеринин демейки орду Users деп аталган контейнер, ал эми контейнер окшош аталыштагы уюштуруу бирдиги менен бирдей типтеги объект эмес.
Каталог администраторунан эсептин чыныгы айырмалоочу атын сураңыз же аны объекттин өзүнөн окуңуз. Төмөнкүлөрдүн экөө тең өз каталогунда туура болушу мүмкүн, ошондуктан экөөнү тең эстен терүүгө болбойт.
CN=VPN Bind,CN=Users,DC=corp,DC=example
CN=VPN Bind,OU=Service Accounts,DC=corp,DC=exampleЖылдыруу же атын өзгөртүү бул маанини өзгөртөт, эсеп менен сырсөз жарактуу бойдон калат, ошондуктан өткөн чейректе иштеген конфигурация бул чейректе эч ким эсептик маалыматка тийбестен иштен чыгышы мүмкүн. Кайсыл реорганизациядан кийин болбосун конфигурацияланган сапты каталогдун учурдагы атрибуту менен салыштырыңыз. Муну тынч миграциядан кийин да жасаңыз, билдирилген тыныгуудан кийин гана эмес.
Издөө базасы кызматтык эсеп эмес
bind инсаны жана издөө базасы ар башка суроолорго жооп берет: плагин ким катары аутентификацияланат жана адамдарды кайдан издейт. Ийгиликтүү bind-тен кийин дал келген колдонуучунун жоктугу — аймак, чыпка же окуу укугунун көйгөйү, ал эми эсептин айырмалоочу атын колдонуучулардын базасы менен алмаштыруу буга эч нерсе өзгөртпөйт.
Кызмат сиз оңдогон конфигурацияны жүктөгөнүн жана анын акыркы чекити, TLS ишеними жана аутентификация режими иштеген административдик тестке дал келээрин ырастаңыз. Башка эсеп менен же башка домен контроллеруна каршы кол менен издөө барабар эксперимент эмес.
Сакталган сырды текшериңиз жана эсептин күйгүзүлгөнүн, мөөнөтү өткөнүн же кулпуланганын сырсөздү эч жерде басып чыгарбастан текшериңиз. Мөөнөттүн өтүшүн байкоо кыйын, анткени эсеп иштебей калган күнгө чейин иштей берет. Байланышсыз кызматтан мураска калган кулпулоо да ушундай тынч. Бул эки шарттын экөө тең кызматтык эсепти атаган билдирүү жаратпайт.
Топ эрежелери акырында келет
Авторизация bind-тер ийгиликтүү болгондон кийин аткарылат, ошондуктан топ текшерүүсү bind иштен чыгышынын себеби боло албайт жана топ талабын алып салуу аны оңдой албайт. Эгер кирүү азыр топ баскычына жетсе, калган көйгөй — мүчөлүк, эсептик маалыматтар эмес.
Ката жоголушу үчүн кызматтык эсепке кеңири каталог укуктарын берүү бүтүндөй жайгаштыруунун кирүү саясатын өзгөртөт. Муну өзүнүн кароосу бар коопсуздук чечими катары кабыл алыңыз, али инсанга таандык кылбаган билдирүү үчүн оңдоо катары эмес.