Dik l-iżball tal-password LDAP jista' lanqas ikun il-password tal-utent
Falliment ta' bind jista' jiġi mill-kont tas-servizz jew mill-ambitu tat-tfittxija, mhux mill-utent. Issepara l-binds qabel ma terġa' tissettja l-password ta' xi ħadd.
L-issettjar mill-ġdid tal-password ta' utent huwa l-ewwel mossa ħażina meta l-log jgħid biss li bind ġie miċħud. B'plugin tad-direttorju hemm aktar minn bind wieħed f'login wieħed, u ċ-ċaħda tista' tkun tal-kont tas-servizz li jagħmel it-tfittxija. L-issettjar mill-ġdid tal-kredenzjali tal-utent f'dak il-każ ma jbiddel xejn. Huwa wkoll jissakkar lil xi ħadd li qatt ma kien il-problema.
Login wieħed, bosta binds
Konfigurazzjoni b'kont tad-direttorju dedikat normalment tagħmel erba' passi fl-ordni, u kull wieħed minnhom jista' jtemm il-login.
connect to the directory and establish the configured TLS protection
bind as the configured service account
search for the user entry using the search base and filter
open a second connection and bind as that user, then evaluate groupsIl-plugin jibni l-konnessjoni tal-awtentikazzjoni tal-utent permezz tal-istess assistent li jieħu ħsieb l-ewwel konnessjoni, għalhekk dak l-assistent jista' jfalli waqt il-konnessjoni, waqt in-negozjati tat-TLS jew waqt bind bħala l-kont tas-servizz. Il-messaġġ ta' livell għoli dwar password jiġi ġġenerat aktar tard, u ma jġorrx liema identità kienet involuta. Għalhekk it-test tal-iżball waħdu ma jistax jgħidlek jekk ġiex miċħud l-utent jew il-kont tas-servizz.
Aqra l-linji qabel il-messaġġ, u nnota l-mument li fih seħħ il-falliment. Ċaħda fil-bidu, qabel ma jiġi xi utent, tindika l-kont ikkonfigurat jew il-punt tat-tmiem. Ċaħda li tidher biss għal persuna waħda, wara tfittxija b'suċċess, tindika d-dħul jew l-istat tal-kont ta' dik il-persuna.
Qabbad l-iżball ma' identità
Ir-regola prattika hija li tirrekordja tliet affarijiet flimkien: meta falla, liema operazzjoni kienet għaddejja u liema identità ġiet ippreżentata. Mingħajr dik it-tlieta, żewġ ħsarat differenti ħafna jidhru l-istess f'log li jżomm biss l-aħħar sentenza.
| What the log shows | Identity likely refused | First thing to check |
|---|---|---|
| Failure at start-up, no user yet | Service account | DN, password, expiry, lockout |
| Search returns nothing | None, the search scope is wrong | Search base and filter |
| Failure only for one user | That user's entry | Entry state, bind DN, group rules |
Jekk il-kont ikkonfigurat jfalli, spezzjona dak il-kont u l-konnessjoni qabel ma tmiss rekord tal-utent. Jekk il-bind tal-utent jfalli wara tfittxija b'suċċess, eżamina d-dħul li rritorna t-tfittxija, mhux dak li assumejt li se jirritorna. Iż-żewġ mogħdijiet jaqsmu messaġġ wieħed u xejn aktar. Ikteb liema wieħed eskludejt, għax il-persuna li jmiss se tistaqsi eżattament dan.
L-isem distintiv hija data, mhux raden
Il-bidla ta' komponent tal-isem għax jidher mhux familjari hija mod komuni kif tinkiser konfigurazzjoni li taħdem. Il-post awtomatiku tal-oġġetti tal-utent f'Active Directory huwa kontejner bl-isem Users, u kontejner mhuwiex l-istess tip ta' oġġett bħal unità organizzattiva b'isem simili.
Staqsi lill-amministratur tad-direttorju għall-isem distintiv reali tal-kont, jew aqrah mill-oġġett innifsu. It-tnejn li ġejjin jistgħu jkunu korretti fid-direttorju tagħhom, u għalhekk ħadd minnhom m'għandu jiġi ittajpjat mill-memorja.
CN=VPN Bind,CN=Users,DC=corp,DC=example
CN=VPN Bind,OU=Service Accounts,DC=corp,DC=exampleMoviment jew bidla tal-isem ibiddel dak il-valur waqt li l-kont u l-password jibqgħu validi, għalhekk konfigurazzjoni li ħadmet il-kwartier li għadda tista' tfalli dan il-kwartier mingħajr ħadd ma jmiss kredenzjali. Qabbel is-sekwenza kkonfigurata mal-attribut attwali tad-direttorju wara kull riorganizzazzjoni. Agħmel dan ukoll wara migrazzjoni kwieta, mhux biss wara waqfa rrappurtata.
Bażi tat-tfittxija mhijiex kont tas-servizz
L-identità tal-bind u l-bażi tat-tfittxija jwieġbu mistoqsijiet differenti: bħala min il-plugin jawtentika u fejn ifittex in-nies. Bind b'suċċess li ma jkunx segwit minn utent li jaqbel hija problema ta' ambitu, filtru jew permess tal-qari, u li tissostitwixxi l-isem distintiv tal-kont mal-bażi tal-utenti ma tbiddel xejn dwar dan.
Ikkonferma li s-servizz għabba l-konfigurazzjoni li editjajt u li l-punt tat-tmiem, il-fiduċja fit-TLS u l-mod tal-awtentikazzjoni tiegħu jaqblu ma' test amministrattiv li jaħdem. Tfittxija manwali b'kont ieħor, jew kontra kontrollur tal-dominju ieħor, mhijiex esperiment ekwivalenti.
Iċċekkja s-sigriet maħżun, u ċċekkja jekk il-kont huwiex attivat, skadut jew imsakkar, mingħajr ma tipprintja l-password imkien. L-iskadenza hija faċli li tintrema għax il-kont ikompli jaħdem sad-jum li fih ma jibqax jaħdem. Sakkar li ntiret minn servizz mhux relatat huwa daqshekk sieket. L-ebda waħda miż-żewġ kundizzjonijiet ma tipproduċi messaġġ li jsemmi l-kont tas-servizz.
Ir-regoli tal-grupp jiġu l-aħħar
L-awtorizzazzjoni taħdem wara li l-binds jirnexxu, għalhekk verifika tal-grupp ma tistax tkun il-kawża ta' falliment ta' bind, u t-tneħħija tal-ħtieġa tal-grupp ma tistax tissewwiha. Jekk il-login issa jasal għall-istadju tal-grupp, il-problema li fadal hija s-sħubija, mhux il-kredenzjali.
Li tagħti lill-kont tas-servizz drittijiet wesgħin tad-direttorju biex l-iżball jisparixxi tbiddel il-politika tal-aċċess tad-deployment kollu. Ittrattah bħala deċiżjoni tas-sigurtà bir-reviżjoni tagħha, mhux bħala tiswija għal messaġġ li għadek ma attribwixxejtx lil identità.