Оваа LDAP грешка со лозинка можеби воопшто не е лозинката на корисникот
Неуспехот на bind може да дојде од услужната сметка или од опсегот на пребарување, а не од корисникот. Одделете ги bind пред да ја ресетирате нечија лозинка.
Ресетирањето на лозинката на корисникот е погрешен прв чекор кога дневникот само вели дека bind бил одбиен. Со додаток за директориум има повеќе од еден bind во едно најавување, а одбивањето може да ѝ припаѓа на услужната сметка што го врши пребарувањето. Ресетирањето на акредитивите на корисникот во тој случај не менува ништо. Тоа исто така заклучува некого што никогаш не бил проблемот.
Едно најавување, повеќе bind
Конфигурацијата со посветена сметка за директориум обично извршува четири чекори по ред, и секој од нив може да го заврши најавувањето.
connect to the directory and establish the configured TLS protection
bind as the configured service account
search for the user entry using the search base and filter
open a second connection and bind as that user, then evaluate groupsДодатокот ја гради својата врска за автентикација на корисникот преку истиот помошник што се справува со првата врска, така што тој помошник може да не успее при поврзување, при преговарање за TLS или при bind како услужна сметка. Пораката на високо ниво за лозинка се генерира подоцна и не носи информација која идентитет бил вклучен. Затоа само текстот на грешката не може да ви каже дали бил одбиен корисникот или услужната сметка.
Прочитајте ги редовите пред пораката и забележете го моментот кога се случил неуспехот. Одбивањето при стартување, пред да дојде кој било корисник, укажува на конфигурираната сметка или на крајната точка. Одбивање што се појавува само за едно лице, по успешно пребарување, укажува на записот или состојбата на сметката на тоа лице.
Поврзете ја грешката со идентитет
Практичното правило е да запишете три работи заедно: кога не успеало, која операција се извршувала и кој идентитет бил претставен. Без таа тројка, две многу различни грешки изгледаат исто во дневник што ја чува само последната реченица.
| What the log shows | Identity likely refused | First thing to check |
|---|---|---|
| Failure at start-up, no user yet | Service account | DN, password, expiry, lockout |
| Search returns nothing | None, the search scope is wrong | Search base and filter |
| Failure only for one user | That user's entry | Entry state, bind DN, group rules |
Ако конфигурираната сметка не успее, проверете ја таа сметка и врската пред да допрете кој било кориснички запис. Ако bind на корисникот не успее по успешно пребарување, проверете го записот што го вратило пребарувањето, а не оној за кој претпоставувавте дека ќе го врати. Двете патеки делат една порака и ништо друго. Запишете која ја исклучивте, зашто следниот човек ќе го праша токму тоа.
Разликувачкото име е податок, не претпоставка
Менувањето на дел од името затоа што изгледа непознато е чест начин да се расипе конфигурација што работи. Стандардното место за кориснички објекти во Active Directory е контејнер наречен Users, а контејнерот не е ист тип на објект како организациона единица со слично име.
Побарајте од администраторот на директориумот вистинското разликувачко име на сметката или прочитајте го од самиот објект. Двете следни може да бидат точни во сопствениот директориум, затоа ниту едно не треба да се внесува од меморија.
CN=VPN Bind,CN=Users,DC=corp,DC=example
CN=VPN Bind,OU=Service Accounts,DC=corp,DC=exampleПреместувањето или преименувањето ја менува таа вредност додека сметката и лозинката остануваат валидни, така што конфигурација што работела претходниот квартал може да не успее овој без никој да допре акредитив. Споредете ја конфигурираната низа со тековниот атрибут на директориумот по секое реорганизирање. Направете го тоа и по тивка миграција, не само по пријавен прекин.
Основната база за пребарување не е услужна сметка
Идентитетот на bind и основната база за пребарување одговараат на различни прашања: како кој се автентикува додатокот и каде бара луѓе. Успешен bind по кој нема соодветен корисник е проблем на опсег, филтер или дозвола за читање, а замената на разликувачкото име на сметката со базата на корисниците ништо не менува во тоа.
Потврдете дека услугата ја вчитала конфигурацијата што ја уредивте и дека нејзината крајна точка, доверба во TLS и режим на автентикација одговараат на работен административен тест. Рачното пребарување со друга сметка или против друг контролер на домен не е еквивалентен експеримент.
Проверете ја зачуваната тајна и проверете дали сметката е овозможена, истечена или заклучена, без да ја печатите лозинката никаде. Истекот лесно се пропушта зашто сметката продолжува да работи до денот кога повеќе не работи. Заклучување наследено од неповрзана услуга е исто толку тивко. Ниту една од двете состојби не создава порака што ја именува услужната сметка.
Правилата за групи доаѓаат последни
Авторизацијата се извршува откако bind ќе успее, така што проверката на група не може да биде причина за неуспех на bind, а отстранувањето на барањето за група не може да го поправи. Ако најавувањето сега стигне до фазата на група, преостанатиот проблем е членството, а не акредитивите.
Давањето широки права за директориум на услужната сметка за да исчезне грешката ја менува политиката за пристап на целото распоредување. Третирајте го тоа како безбедносна одлука со сопствен преглед, а не како поправка за порака што допрва треба да ѝ ја припишете на идентитет.