Šī LDAP paroles kļūda var nemaz nebūt lietotāja parole
bind kļūda var nākt no pakalpojuma konta vai meklēšanas apgabala, nevis no lietotāja. Atdaliet bind pirms kāda paroles atiestatīšanas.
Lietotāja paroles atiestatīšana ir nepareizais pirmais solis, ja žurnāls tikai saka, ka bind tika noraidīts. Ar direktorija spraudni vienā pieteikšanās reizē ir vairāk nekā viens bind, un noraidījums var piederēt pakalpojuma kontam, kas veic meklēšanu. Lietotāja akreditācijas datu atiestatīšana šajā gadījumā neko nemaina. Tas arī bloķē kādu, kas nekad nav bijis problēma.
Viena pieteikšanās, vairāki bind
Konfigurācija ar atsevišķu direktorija kontu parasti veic četras darbības pēc kārtas, un jebkura no tām var izbeigt pieteikšanos.
connect to the directory and establish the configured TLS protection
bind as the configured service account
search for the user entry using the search base and filter
open a second connection and bind as that user, then evaluate groupsSpraudnis savienojumu lietotāja autentifikācijai veido caur to pašu palīgu, kas apstrādā pirmo savienojumu, tāpēc šis palīgs var neizdoties savienošanas laikā, TLS sarunu laikā vai veicot bind kā pakalpojuma konts. Augsta līmeņa ziņojums par paroli tiek ģenerēts vēlāk, un tas nenorāda, kāda identitāte bija iesaistīta. Tāpēc tikai kļūdas teksts nevar pateikt, vai tika noraidīts lietotājs vai pakalpojuma konts.
Izlasiet rindas pirms ziņojuma un atzīmējiet brīdi, kad notika kļūme. Noraidījums startēšanas laikā, pirms ierodas jebkurš lietotājs, norāda uz konfigurēto kontu vai galapunktu. Noraidījums, kas parādās tikai vienai personai pēc veiksmīgas meklēšanas, norāda uz šīs personas ierakstu vai konta stāvokli.
Sasaistiet kļūdu ar identitāti
Praktiskais noteikums ir pierakstīt trīs lietas kopā: kad tas neizdevās, kura darbība notika un kura identitāte tika uzrādīta. Bez šī trijnieka divas ļoti atšķirīgas kļūmes žurnālā, kas saglabā tikai pēdējo teikumu, izskatās vienādas.
| What the log shows | Identity likely refused | First thing to check |
|---|---|---|
| Failure at start-up, no user yet | Service account | DN, password, expiry, lockout |
| Search returns nothing | None, the search scope is wrong | Search base and filter |
| Failure only for one user | That user's entry | Entry state, bind DN, group rules |
Ja konfigurētais konts neizdodas, pārbaudiet šo kontu un savienojumu, pirms aiztiekat jebkuru lietotāja ierakstu. Ja lietotāja bind neizdodas pēc veiksmīgas meklēšanas, pārbaudiet ierakstu, ko meklēšana atgrieza, nevis to, ko jūs domājāt, ka tā atgriezīs. Abi ceļi dala vienu ziņojumu un neko citu. Pierakstiet, kuru jūs izslēdzāt, jo nākamais cilvēks jautās tieši to.
Atšķirīgais nosaukums ir dati, nevis minējums
Nosaukuma komponenta maiņa tāpēc, ka tas šķiet nepazīstams, ir izplatīts veids, kā sabojāt strādājošu konfigurāciju. Lietotāja objektu noklusējuma vieta Active Directory ir konteiners ar nosaukumu Users, un konteiners nav tāda paša veida objekts kā līdzīgi nosaukta organizatoriskā vienība.
Palūdziet direktorija administratoram konta faktisko atšķirīgo nosaukumu vai nolasiet to no paša objekta. Abi tālāk minētie var būt pareizi savā direktorijā, tāpēc neviens no tiem nav jāievada no atmiņas.
CN=VPN Bind,CN=Users,DC=corp,DC=example
CN=VPN Bind,OU=Service Accounts,DC=corp,DC=examplePārvietošana vai pārdēvēšana maina šo vērtību, kamēr konts un parole paliek derīgi, tāpēc konfigurācija, kas darbojās pagājušajā ceturksnī, var neizdoties šajā, nevienam neaiztiekot akreditācijas datus. Pēc jebkuras reorganizācijas salīdziniet konfigurēto virkni ar direktorija pašreizējo atribūtu. Dariet to arī pēc klusas migrācijas, ne tikai pēc ziņota pārtraukuma.
Meklēšanas bāze nav pakalpojuma konts
bind identitāte un meklēšanas bāze atbild uz dažādiem jautājumiem: kā spraudnis autentificējas un kur tas meklē cilvēkus. Veiksmīgs bind bez atbilstoša lietotāja ir apgabala, filtra vai lasīšanas atļaujas problēma, un konta atšķirīgā nosaukuma aizstāšana ar lietotāju bāzi to ne maina.
Pārliecinieties, ka pakalpojums ir ielādējis jūsu rediģēto konfigurāciju un ka tā galapunkts, TLS uzticēšanās un autentifikācijas režīms atbilst strādājošam administratīvajam testam. Manuāla meklēšana ar citu kontu vai pret citu domēna kontrolieri nav līdzvērtīgs eksperiments.
Pārbaudiet saglabāto noslēpumu un pārbaudiet, vai konts ir iespējots, beidzies vai bloķēts, nekur neizdrukājot paroli. Beigšanos ir viegli palaist garām, jo konts turpina darboties līdz dienai, kad tas vairs nedarbojas. Bloķējums, kas mantots no nesaistīta pakalpojuma, ir tikpat kluss. Neviens no šiem stāvokļiem nerada ziņojumu, kas nosauc pakalpojuma kontu.
Grupas noteikumi nāk pēdējie
Autorizācija tiek izpildīta pēc tam, kad bind ir izdevies, tāpēc grupas pārbaude nevar būt bind kļūmes cēlonis, un grupas prasības noņemšana to nevar salabot. Ja pieteikšanās tagad sasniedz grupas posmu, atlikusī problēma ir dalība, nevis akreditācijas dati.
Plašu direktorija tiesību piešķiršana pakalpojuma kontam, lai kļūda pazustu, maina visas ieviešanas piekļuves politiku. Uztveriet to kā drošības lēmumu ar savu pārskatīšanu, nevis kā labojumu ziņojumam, kuru vēl neesat attiecinājis uz identitāti.