Dee LDAP-Passwuertfeeler muss net dem Benotzer säi Passwuert sinn
E bind-Fehler kann vum Servicekont oder vum Sichberäich kommen, net vum Benotzer. Trennt d'Binds, ier Dir iergendeem säi Passwuert zrécksetzt.
D'Passwuert vun engem Benotzer zrécksetzen ass de falsche éischte Schrëtt, wann de Log just seet, datt e bind refuséiert gouf. Bei engem Verzeechnes-Plugin gëtt et méi wéi ee bind an enger eenzeger Umeldung, an de Refus kann zum Servicekont gehéieren, deen d'Sich ausféiert. D'Benotzerzertifikater an deem Fall zrécksetzen ännert näischt. Et späert och een aus, deen ni de Problem war.
Eng Umeldung, verschidde Binds
Eng Konfiguratioun mat engem eege Verzeechneskont mécht normalerweis véier Schrëtt an der Rei, an all ee vun hinnen kann d'Umeldung ophalen.
connect to the directory and establish the configured TLS protection
bind as the configured service account
search for the user entry using the search base and filter
open a second connection and bind as that user, then evaluate groupsDe Plugin baut seng Benotzerauthentifikatiounsverbindung iwwer deeselwechte Helper, deen déi éischt Verbindung ofwéckelt, dofir kann dee Helper beim Verbannen, bei der TLS-Verhandlung oder beim bind als Servicekont feelen. D'Message op héijem Niveau iwwer e Passwuert gëtt méi spéit generéiert, an si dréit net, wéi eng Identitéit bedeelegt war. Dofir kann den Feelertext eleng Iech net soen, ob de Benotzer oder de Servicekont refuséiert gouf.
Liest d'Linnen virun der Message a notéiert de Moment, wéi de Feeler geschitt ass. E Refus beim Start, ier ee Benotzer kënnt, weist op de konfiguréierte Kont oder den Endpunkt. E Refus, deen nëmmen ee Persoun erschéngt, no enger erfollegräicher Sich, weist op den Entrée oder de Kontstatus vun deem Persoun.
D'Feeler mat enger Identitéit verbannen
D'praktesch Regel ass dräi Saachen zesummen ze notéieren: wéini et gefeelt huet, wéi eng Operatioun leeft a wéi eng Identitéit presentéiert gouf. Ouni deem Trio gesi sech zwee ganz ënnerschiddlech Feeler gläich an engem Log, deen nëmmen de leschte Saz behält.
| What the log shows | Identity likely refused | First thing to check |
|---|---|---|
| Failure at start-up, no user yet | Service account | DN, password, expiry, lockout |
| Search returns nothing | None, the search scope is wrong | Search base and filter |
| Failure only for one user | That user's entry | Entry state, bind DN, group rules |
Wann de konfiguréierte Kont feelt, inspectéiert dee Kont an d'Verbindung, ier Dir iergendee Benotzerdatensaz beréiert. Wann dem Benotzer säi bind no enger erfollegräicher Sich feelt, ënnersicht den Entrée, deen d'Sich zréckginn huet, an net deen, vun deem Dir ugeholl hutt, datt hie zréckkënnt. Déi zwou Weeër deelen eng Message an näischt anescht. Schreift op, wat Dir ausgeschloss hutt, well déi nächst Persoun wäert genau dat froen.
Den ënnerschiddlechen Numm ass Daten, net eng Roent
En Nummkomponent z'änneren, well en onbekannt ausgesäit, ass eng gewéinlech Manéier, eng funktionéierend Konfiguratioun ze briechen. Den Defaultplaz vun de Benotzerobjete am Active Directory ass e Container mam Numm Users, an e Container ass net déiselwecht Aart Objet wéi eng organisatoresch Eenheet mat engem ähnlechen Numm.
Frot den Verzeechnesadministrator nom tatsächlechen ënnerschiddlechen Numm vum Kont, oder liest en aus dem Objet selwer. Béid vun de folgenden kënnen an hirem eegene Verzeechnes richteg sinn, dofir sollt keng vun hinnen aus dem Gedächtnis getippt ginn.
CN=VPN Bind,CN=Users,DC=corp,DC=example
CN=VPN Bind,OU=Service Accounts,DC=corp,DC=exampleEn Ëmzug oder eng Ëmbenennung ännert dee Wäert, während de Kont an d'Passwuert gülteg bleiwen, dofir kann eng Konfiguratioun, déi lescht Quartal funktionéiert huet, dëst Quartal feeleb, ouni datt een eng Zertifikat beréiert. Vergläicht de konfiguréierte String mam aktuelle Attribut vum Verzeechnes no all Reorganisatioun. Maacht et och no enger roueger Migratioun, net nëmmen no engem gemellten Ausfall.
Eng Sichbasis ass kee Servicekont
D'bind-Identitéit an d'Sichbasis beäntweren ënnerschiddlech Froen: als wien de Plugin sech authentifizéiert a wou en Leit sicht. En erfollegräiche bind, op deen keen passende Benotzer folgt, ass e Problem vum Beräich, vum Filter oder vum Liesrecht, an den ënnerschiddlechen Numm vum Kont duerch d'Basis vun de Benotzer z'ersetzen ännert dorun näischt.
Bestätegt, datt de Service déi Konfiguratioun gelueden huet, déi Dir geännert hutt, an datt säin Endpunkt, TLS-Vertrauen an Authentifikatiounsmodus mat engem funktionéierenden administrativen Test iwwerenee stëmmen. Eng manuell Sich mat engem anere Kont, oder géint en aneren Domainkontroller, ass keen equivalent Experiment.
Kontrolléiert de gespäicherte Geheimnis, a kontrolléiert, ob de Kont aktivéiert, ofgelaf oder gespaart ass, ouni d'Passwuert iergendwou ze drécken. Den Ofleef ass liicht ze verpassen, well de Kont weider funktionéiert bis zu deem Dag, wou en et net méi mécht. Eng Spär, déi vun engem onverbonne Service geierft gouf, ass grad esou roueg. Keng vun deenen zwou Konditiounen erzeugt eng Message, déi de Servicekont nennt.
Grupperegelen kommen als Lescht
D'Autorisatioun leeft, nodeem d'Binds erfollegräich waren, dofir kann eng Gruppenkontroll net d'Ursaach vun engem bind-Fehler sinn, an d'Gruppefuerderung ewechzehuelen kann en net reparéieren. Wann d'Umeldung elo d'Gruppephase erreecht, ass de reschtleche Problem d'Memberschaft, net d'Zertifikater.
Dem Servicekont breet Verzeechnesrechter ze ginn, fir datt de Feeler verschwënnt, ännert d'Zougangspolitik vun der ganzer Deployment. Behandelt dat als eng Sécherheetsentscheedung mat hirer eegener Iwwerpréiwung, net als eng Korrektur fir eng Message, déi Dir nach kenger Identitéit zougeschriwwen hutt.