Тэр LDAP нууц үгийн алдаа нь хэрэглэгчийн нууц үг биш байж болно
bind-ийн алдаа нь үйлчилгээний бүртгэл эсвэл хайлтын хүрээнээс ирж болох бөгөөд хэрэглэгчээс биш. Хэн нэгний нууц үгийг дахин тохируулахын өмнө bind-үүдийг ялгаарай.
Бүртгэл зөвхөн bind татгалзсан гэж хэлж байхад хэрэглэгчийн нууц үгийг дахин тохируулах нь буруу эхний алхам юм. Каталогийн залгаастай үед нэг нэвтрэлтэд нэгээс олон bind байдаг бөгөөд татгалзал нь хайлт хийж буй үйлчилгээний бүртгэлд хамаарах байж болно. Тэр тохиолдолд хэрэглэгчийн итгэмжлэлийг дахин тохируулах нь юу ч өөрчлөхгүй. Энэ нь хэзээ ч асуудал болж байгаагүй хүнийг ч түгжинэ.
Нэг нэвтрэлт, олон bind
Тусгай каталогийн бүртгэлтэй тохиргоо нь ихэвчлэн дөрвөн алхмыг дараалан гүйцэтгэдэг бөгөөд тэдгээрийн аль нь ч нэвтрэлтийг дуусгаж болно.
connect to the directory and establish the configured TLS protection
bind as the configured service account
search for the user entry using the search base and filter
open a second connection and bind as that user, then evaluate groupsЗалгаас хэрэглэгчийн баталгаажуулалтын холболтыг эхний холболтыг зохицуулдаг тэр туслахыг ашиглан үүсгэдэг тул тэр туслах холбогдох, TLS-ийн хэлэлцээр хийх эсвэл үйлчилгээний бүртгэлээр bind хийх үед бүтэлгүйтэж болно. Нууц үгийн тухай өндөр түвшний мессеж дараа нь үүсдэг бөгөөд аль таних тэмдэг оролцсоныг агуулдаггүй. Тиймээс алдааны текст дангаараа хэрэглэгч эсвэл үйлчилгээний бүртгэл татгалзсаныг хэлж чадахгүй.
Мессежийн өмнөх мөрүүдийг уншиж, алдаа гарсан мөчийг тэмдэглээрэй. Эхлэх үед, ямар ч хэрэглэгч ирээгүй байхад татгалзсан нь тохируулсан бүртгэл эсвэл төгсгөлийн цэгийг заана. Амжилттай хайлтын дараа зөвхөн нэг хүнд илрэх татгалзал нь тухайн хүний бичлэг эсвэл бүртгэлийн төлөвийг заана.
Алдааг таних тэмдэгтэй холбоорой
Практик дүрэм бол гурван зүйлийг хамт бүртгэх: хэзээ бүтэлгүйтсэн, ямар үйлдэл явагдаж байсан, ямар таних тэмдэг танилцуулсан. Энэ гурвангүйгээр зөвхөн сүүлийн өгүүлбэрийг хадгалдаг бүртгэлд хоёр огт өөр гэмтэл ижил харагдана.
| What the log shows | Identity likely refused | First thing to check |
|---|---|---|
| Failure at start-up, no user yet | Service account | DN, password, expiry, lockout |
| Search returns nothing | None, the search scope is wrong | Search base and filter |
| Failure only for one user | That user's entry | Entry state, bind DN, group rules |
Тохируулсан бүртгэл бүтэлгүйтвэл ямар ч хэрэглэгчийн бичлэгт хүрэхийн өмнө тэр бүртгэл болон холболтыг шалгаарай. Амжилттай хайлтын дараа хэрэглэгчийн bind бүтэлгүйтвэл хайлтаас буцсан бичлэгийг шалгаарай, буцаана гэж таамагласан бичлэгийг биш. Хоёр зам зөвхөн нэг мессежийг хуваалцдаг. Аль нь болохыг хасснаа бичээрэй, учир нь дараагийн хүн яг түүнийг асуух болно.
Ялгах нэр бол өгөгдөл, таамаг биш
Нэрийн бүрэлдэхүүнийг танихгүй харагдсан учир өөрчлөх нь ажиллаж буй тохиргоог эвдэх түгээмэл арга юм. Active Directory дахь хэрэглэгчийн объектуудын анхдагч байршил нь Users нэртэй контейнер бөгөөд контейнер нь ижил төстэй нэртэй байгууллагын нэгжтэй ижил төрлийн объект биш.
Каталогийн администратороос бүртгэлийн бодит ялгах нэрийг асуугаарай, эсвэл объектоос нь уншаарай. Доорх хоёулаа өөрийн каталогт зөв байж болох тул алин ч санаанд хадгалсан байдлаар бичих ёсгүй.
CN=VPN Bind,CN=Users,DC=corp,DC=example
CN=VPN Bind,OU=Service Accounts,DC=corp,DC=exampleЗөөх эсвэл нэр өөрчлөх нь бүртгэл болон нууц үг хүчинтэй хэвээр байх үед тэр утгыг өөрчилдөг тул өнгөрсөн улиралд ажиллаж байсан тохиргоо энэ улиралд хэнд ч итгэмжлэлд хүрэлгүйгээр бүтэлгүйтэж болно. Аливаа өөрчлөн зохион байгуулалтын дараа тохируулсан мөрийг каталогийн одоогийн атрибуттай харьцуулаарай. Чимээгүй шилжилтийн дараа ч хийгээрэй, зөвхөн мэдээлсэн тасалдлын дараа биш.
Хайлтын суурь нь үйлчилгээний бүртгэл биш
bind-ийн таних тэмдэг ба хайлтын суурь нь өөр асуултад хариулдаг: залгаас хэний нэрээр баталгаажуулагдах, хүмүүсийг хаанаас хайх. Амжилттай bind-ийн дараа тохирох хэрэглэгч байхгүй байх нь хүрээ, шүүлтүүр эсвэл унших зөвшөөрлийн асуудал бөгөөд бүртгэлийн ялгах нэрийг хэрэглэгчдийн суурьтай солих нь үүнд юу ч өөрчлөхгүй.
Үйлчилгээ таны зассан тохиргоог ачаалсан, мөн түүний төгсгөлийн цэг, TLS итгэлцэл ба баталгаажуулалтын горим ажиллаж буй администрацийн тесттэй тохирч байгааг баталгаажуулаарай. Өөр бүртгэлээр эсвэл өөр домэйн хянагчийн эсрэг гараар хийсэн хайлт нь тэнцүү туршилт биш.
Хадгалсан нууцыг шалгаж, бүртгэл идэвхтэй, хугацаа дууссан эсвэл түгжигдсэн эсэхийг нууц үгийг хаана ч хэвлэхгүйгээр шалгаарай. Хугацаа дуусахыг анзаарахгүй өнгөрөөхөд амар, учир нь бүртгэл ажиллахаа болих өдөр хүртэл ажилласаар байна. Хамааралгүй үйлчилгээнээс өвлөгдсөн түгжээ ч мөн адил чимээгүй. Эдгээр хоёр нөхцөлийн аль нь ч үйлчилгээний бүртгэлийг нэрлэсэн мессеж үүсгэдэггүй.
Бүлгийн дүрмүүд хамгийн сүүлд ирдэг
Зөвшөөрөл нь bind-үүд амжилттай болсны дараа ажилладаг тул бүлгийн шалгалт bind-ийн бүтэлгүйтлийн шалтгаан болж чадахгүй, бүлгийн шаардлагыг хасах нь түүнийг засах ч чадахгүй. Хэрэв нэвтрэлт одоо бүлгийн үе шатанд хүрвэл үлдсэн асуудал нь гишүүнчлэл, итгэмжлэл биш.
Алдаа арилуулахын тулд үйлчилгээний бүртгэлд өргөн каталогийн эрх олгох нь бүхэл бүтэн байршуулалтын хандалтын бодлогыг өөрчилдөг. Үүнийг өөрийн хяналт бүхий аюулгүй байдлын шийдвэр гэж үзээрэй, таних тэмдэгт хараахан хамааруулаагүй мессежийн засвар гэж биш.