Ralat kata laluan LDAP itu mungkin bukan kata laluan pengguna sama sekali

Menetapkan semula kata laluan pengguna ialah langkah pertama yang salah apabila log hanya menyatakan bind telah ditolak. Dengan pemalam direktori, terdapat lebih daripada satu bind dalam satu log masuk, dan penolakan itu mungkin milik akaun perkhidmatan yang melakukan carian. Menetapkan semula kelayakan pengguna dalam kes itu tidak mengubah apa-apa. Ia juga menyekat seseorang yang tidak pernah menjadi masalah.

Satu log masuk, beberapa bind

Konfigurasi dengan akaun direktori khusus biasanya melakukan empat langkah mengikut urutan, dan mana-mana daripadanya boleh menamatkan log masuk.

connect to the directory and establish the configured TLS protection
bind as the configured service account
search for the user entry using the search base and filter
open a second connection and bind as that user, then evaluate groups

Pemalam membina sambungan pengesahan pengguna melalui pembantu yang sama yang mengendalikan sambungan pertama, jadi pembantu itu boleh gagal semasa menyambung, semasa berunding TLS atau semasa bind sebagai akaun perkhidmatan. Mesej peringkat tinggi tentang kata laluan dijana kemudian, dan ia tidak membawa identiti mana yang terlibat. Itulah sebabnya teks ralat sahaja tidak dapat memberitahu anda sama ada pengguna atau akaun perkhidmatan yang ditolak.

Baca baris sebelum mesej, dan catat saat kegagalan berlaku. Penolakan pada permulaan, sebelum mana-mana pengguna datang, menunjuk kepada akaun yang dikonfigurasikan atau titik akhir. Penolakan yang muncul hanya untuk seorang, selepas carian berjaya, menunjuk kepada entri atau keadaan akaun orang itu.

Pasangkan ralat dengan identiti

Peraturan praktikal ialah merekodkan tiga perkara bersama: bila ia gagal, operasi apa yang sedang berjalan dan identiti apa yang dikemukakan. Tanpa tiga serangkai itu, dua kerosakan yang sangat berbeza kelihatan sama dalam log yang hanya menyimpan ayat terakhir.

Jika akaun yang dikonfigurasikan gagal, periksa akaun itu dan sambungan sebelum menyentuh mana-mana rekod pengguna. Jika bind pengguna gagal selepas carian berjaya, periksa entri yang dikembalikan oleh carian, bukan entri yang anda andaikan akan dikembalikan. Kedua-dua laluan berkongsi satu mesej dan tiada yang lain. Catat yang mana anda kecualikan, kerana orang seterusnya akan bertanya perkara itu.

Nama tersendiri ialah data, bukan tekaan

Menukar komponen nama kerana ia kelihatan asing ialah cara biasa untuk merosakkan konfigurasi yang berfungsi. Lokasi lalai objek pengguna dalam Active Directory ialah bekas bernama Users, dan bekas bukan jenis objek yang sama dengan unit organisasi yang mempunyai nama serupa.

Minta nama tersendiri sebenar akaun itu daripada pentadbir direktori, atau baca daripada objek itu sendiri. Kedua-dua berikut boleh betul dalam direktori masing-masing, sebab itu tiada satu pun patut ditaip daripada ingatan.

CN=VPN Bind,CN=Users,DC=corp,DC=example
CN=VPN Bind,OU=Service Accounts,DC=corp,DC=example

Pemindahan atau penamaan semula mengubah nilai itu sementara akaun dan kata laluan kekal sah, jadi konfigurasi yang berfungsi suku lalu mungkin gagal suku ini tanpa sesiapa menyentuh kelayakan. Bandingkan rentetan yang dikonfigurasikan dengan atribut semasa direktori selepas sebarang penyusunan semula. Lakukan juga selepas migrasi senyap, bukan hanya selepas gangguan yang dilaporkan.

Asas carian bukan akaun perkhidmatan

Identiti bind dan asas carian menjawab soalan berbeza: sebagai siapa pemalam mengesahkan dan di mana ia mencari orang. Bind yang berjaya tetapi tiada pengguna yang sepadan ialah masalah skop, penapis atau kebenaran baca, dan menggantikan nama tersendiri akaun dengan asas pengguna tidak mengubah apa-apa tentangnya.

Sahkan bahawa perkhidmatan telah memuatkan konfigurasi yang anda sunting dan bahawa titik akhir, kepercayaan TLS dan mod pengesahannya sepadan dengan ujian pentadbiran yang berfungsi. Carian manual dengan akaun lain, atau terhadap pengawal domain lain, bukan eksperimen yang setara.

Periksa rahsia yang disimpan, dan periksa sama ada akaun didayakan, tamat tempoh atau dikunci, tanpa mencetak kata laluan di mana-mana. Tamat tempoh mudah terlepas kerana akaun terus berfungsi sehingga hari ia tidak lagi berfungsi. Kuncian yang diwarisi daripada perkhidmatan tidak berkaitan juga sama senyap. Kedua-dua keadaan itu tidak menghasilkan mesej yang menamakan akaun perkhidmatan.

Peraturan kumpulan datang terakhir

Kebenaran berjalan selepas bind berjaya, jadi semakan kumpulan tidak boleh menjadi punca kegagalan bind, dan membuang keperluan kumpulan tidak boleh membaikinya. Jika log masuk kini sampai ke peringkat kumpulan, masalah yang tinggal ialah keahlian, bukan kelayakan.

Memberi hak direktori yang luas kepada akaun perkhidmatan supaya ralat hilang mengubah dasar akses keseluruhan penggunaan. Perlakukan itu sebagai keputusan keselamatan dengan semakannya sendiri, bukan sebagai pembaikan untuk mesej yang belum anda kaitkan dengan identiti.