Ši LDAP slaptažodžio klaida gali būti visai ne naudotojo slaptažodis
bind klaida gali kilti iš paslaugos paskyros arba paieškos srities, o ne iš naudotojo. Atskirkite bind prieš kam nors atstatydami slaptažodį.
Naudotojo slaptažodžio atstatymas yra neteisingas pirmasis žingsnis, kai žurnalas tik sako, kad bind buvo atmestas. Su katalogo papildiniu viename prisijungime yra daugiau nei vienas bind, o atmetimas gali priklausyti paslaugos paskyrai, kuri atlieka paiešką. Tokiu atveju naudotojo prisijungimo duomenų atstatymas nieko nekeičia. Tai taip pat užrakina ką nors, kas niekada nebuvo problema.
Vienas prisijungimas, keli bind
Konfigūracija su atskira katalogo paskyra paprastai atlieka keturis veiksmus iš eilės, ir bet kuris iš jų gali baigti prisijungimą.
connect to the directory and establish the configured TLS protection
bind as the configured service account
search for the user entry using the search base and filter
open a second connection and bind as that user, then evaluate groupsPapildinys savo naudotojo autentifikavimo ryšį kuria per tą patį pagalbinį komponentą, kuris tvarko pirmąjį ryšį, todėl tas komponentas gali nepavykti jungiantis, derantis dėl TLS ar atliekant bind kaip paslaugos paskyra. Aukšto lygio pranešimas apie slaptažodį generuojamas vėliau ir neperduoda, kokia tapatybė buvo susijusi. Todėl vien klaidos tekstas negali pasakyti, ar buvo atmestas naudotojas, ar paslaugos paskyra.
Perskaitykite eilutes prieš pranešimą ir pažymėkite momentą, kai įvyko klaida. Atmetimas paleidžiant, prieš ateinant bet kuriam naudotojui, nurodo sukonfigūruotą paskyrą arba galinį tašką. Atmetimas, kuris atsiranda tik vienam asmeniui po sėkmingos paieškos, nurodo to asmens įrašą arba paskyros būseną.
Susiekite klaidą su tapatybe
Praktinė taisyklė – užrašyti tris dalykus kartu: kada nepavyko, kokia operacija vyko ir kokia tapatybė buvo pateikta. Be šio trejeto dvi labai skirtingos gedimai žurnale, kuriame lieka tik paskutinis sakinys, atrodo vienodai.
| What the log shows | Identity likely refused | First thing to check |
|---|---|---|
| Failure at start-up, no user yet | Service account | DN, password, expiry, lockout |
| Search returns nothing | None, the search scope is wrong | Search base and filter |
| Failure only for one user | That user's entry | Entry state, bind DN, group rules |
Jei sukonfigūruota paskyra nepavyksta, patikrinkite tą paskyrą ir ryšį prieš liesdami bet kurį naudotojo įrašą. Jei naudotojo bind nepavyksta po sėkmingos paieškos, nagrinėkite įrašą, kurį grąžino paieška, o ne tą, kurį manėte grąžinsiant. Du keliai dalijasi vienu pranešimu ir niekuo daugiau. Užsirašykite, kurį atmetėte, nes kitas žmogus klaus būtent to.
Skiriamasis vardas yra duomenys, o ne spėjimas
Vardo komponento keitimas dėl to, kad jis atrodo nepažįstamas, yra įprastas būdas sugadinti veikiančią konfigūraciją. Numatytąji naudotojo objektų vieta Active Directory yra konteineris, pavadintas Users, o konteineris nėra to paties tipo objektas kaip panašiai pavadintas organizacinis vienetas.
Paprašykite katalogo administratoriaus tikrojo paskyros skiriamojo vardo arba perskaitykite jį iš paties objekto. Abu toliau pateikti variantai gali būti teisingi savo kataloge, todėl nė vieno nereikėtų rinkti iš atminties.
CN=VPN Bind,CN=Users,DC=corp,DC=example
CN=VPN Bind,OU=Service Accounts,DC=corp,DC=examplePerkėlimas arba pervadinimas pakeičia tą reikšmę, kol paskyra ir slaptažodis lieka galiojantys, todėl konfigūracija, kuri veikė praėjusį ketvirtį, gali nepavykti šį, niekam nelietus prisijungimo duomenų. Palyginkite sukonfigūruotą eilutę su dabartiniu katalogo atributu po bet kokios reorganizacijos. Padarykite tai ir po tylios migracijos, ne tik po pranešto sutrikimo.
Paieškos bazė nėra paslaugos paskyra
bind tapatybė ir paieškos bazė atsako į skirtingus klausimus: kuo papildinys autentifikuojasi ir kur ieško žmonių. Sėkmingas bind, po kurio nėra atitinkančio naudotojo, yra srities, filtro arba skaitymo teisės problema, o paskyros skiriamojo vardo pakeitimas naudotojų baze nieko to nekeičia.
Patvirtinkite, kad paslauga įkėlė jūsų redaguotą konfigūraciją ir kad jos galinis taškas, TLS pasitikėjimas ir autentifikavimo režimas atitinka veikiantį administracinį testą. Rankinė paieška su kita paskyra arba prieš kitą domeno valdiklį nėra lygiavertis eksperimentas.
Patikrinkite saugomą paslaptį ir patikrinkite, ar paskyra įjungta, pasibaigusi ar užrakinta, niekur nespausdindami slaptažodžio. Pasibaigimą lengva praleisti, nes paskyra veikia iki dienos, kai nebeveikia. Užraktas, paveldėtas iš nesusijusios paslaugos, yra lygiai toks pat tylus. Nė viena iš šių būsenų nesukuria pranešimo, kuriame būtų įvardyta paslaugos paskyra.
Grupės taisyklės ateina paskutinės
Autorizacija vykdoma po to, kai bind pavyksta, todėl grupės patikra negali būti bind klaidos priežastis, o grupės reikalavimo pašalinimas negali jos pataisyti. Jei prisijungimas dabar pasiekia grupės etapą, likusi problema yra narystė, o ne prisijungimo duomenys.
Suteikimas paslaugos paskyrai plačių katalogo teisių, kad klaida išnyktų, keičia viso diegimo prieigos politiką. Traktuokite tai kaip saugumo sprendimą su atskira peržiūra, o ne kaip pataisą pranešimui, kurio dar nepriskyrėte tapatybei.