دا LDAP پټنوم تېروتنه کېدای شي د کارن پټنوم نه وي
د bind ناکامي کېدای شي د خدمت حساب یا د لټون ساحې څخه راشي، نه د کارن څخه۔ د هر چا پټنوم بیا تنظیمولو دمخه bindونه جلا کړئ۔
د کارن پټنوم بیا تنظیمول لومړی غلط ګام دی کله چې لاګ یوازې ووایي چې bind رد شو۔ د ډایرکټري پلگ ان سره په یوه ننوتلو کې له یو څخه ډېر bind وي، او رد کېدل کېدای شي د هغه خدمت حساب وي چې لټون کوي۔ په دې حالت کې د کارن اعتبارنامې بیا تنظیمول هېڅ نه بدلوي۔ دا هغه څوک هم بندوي چې هیڅکله ستونزه نه وه۔
یوه ننوتل، ډېر bindونه
د ځانگړي ډایرکټري حساب سره ترتیب معمولاً په ترتیب سره څلور ګامونه ترسره کوي، او هر یو یې کولای شي ننوتل پای ته ورسوي۔
connect to the directory and establish the configured TLS protection
bind as the configured service account
search for the user entry using the search base and filter
open a second connection and bind as that user, then evaluate groupsپلگ ان خپل د کارن تصدیق اړیکه د هغه هماغه مرستندوی له لارې جوړوي چې لومړۍ اړیکه اداره کوي، نو هغه مرستندوی کولای شي د نښلولو پر مهال، د TLS خبرو اترو پر مهال یا د خدمت حساب په توګه bind پر مهال ناکام شي۔ د پټنوم په اړه لوړه کچه پیغام وروسته جوړېږي، او دا نه وایي چې کوم هویت ښکېل و۔ له همدې امله یوازې د تېروتنې متن نه شي ویلی چې کارن رد شو که خدمت حساب۔
له پیغام دمخه کرښې ولولئ، او هغه شیبه یادې کړئ چې ناکامي پېښه شوه۔ په پیل کې، له هر کارن راتلو دمخه رد کېدل ترتیب شوي حساب یا پای ټکي ته اشاره کوي۔ هغه رد کېدل چې یوازې یو کس ته، د بریالي لټون وروسته ښکاري، د هغه کس ننوت یا د حساب حالت ته اشاره کوي۔
تېروتنه له هویت سره جوړه کړئ
عملي قاعده دا ده چې درې شیان یوځای ثبت کړئ: کله ناکام شو، کوم عملیات روان وو او کوم هویت وړاندې شو۔ پرته له دې درېایي، په لاګ کې چې یوازې وروستۍ جمله ساتي، دوه ډېر بېلابېلې خرابۍ یو شان ښکاري۔
| What the log shows | Identity likely refused | First thing to check |
|---|---|---|
| Failure at start-up, no user yet | Service account | DN, password, expiry, lockout |
| Search returns nothing | None, the search scope is wrong | Search base and filter |
| Failure only for one user | That user's entry | Entry state, bind DN, group rules |
که ترتیب شوی حساب ناکام شي، له هر کارن ریکارډ ته د لاس وروړلو دمخه هغه حساب او اړیکه وګورئ۔ که د بریالي لټون وروسته د کارن bind ناکام شي، هغه ننوت وګورئ چې لټون یې راستانه کړ، نه هغه چې تاسو یې تمه درلوده۔ دواړه لارې یوازې یو پیغام شریکوي۔ ولیکئ چې کوم یې خارج کړ، ځکه بل کس به دقیقاً هماغه پوښتنه وکړي۔
توپیر کوونکی نوم معلومات دي، نه اټکل
د نوم یوه برخه بدلول ځکه چې نااشنا ښکاري، د روان ترتیب د ماتولو عامه لاره ده۔ په Active Directory کې د کارن شیانو ډیفالټ ځای د Users په نوم کنټینر دی، او کنټینر د ورته نوم سره د سازماني واحد په څېر هماغه ډول شی نه دی۔
د ډایرکټري مدیر څخه د حساب ریښتینی توپیر کوونکی نوم وغواړئ، یا یې له شی څخه ولولئ۔ لاندې دواړه کولای شي په خپله ډایرکټري کې سم وي، له همدې امله باید هیڅ یو هم له یاد څخه ولیکل شي۔
CN=VPN Bind,CN=Users,DC=corp,DC=example
CN=VPN Bind,OU=Service Accounts,DC=corp,DC=exampleلېږدول یا نوم بدلول هغه ارزښت بدلوي پداسې حال کې چې حساب او پټنوم معتبر پاتې کېږي، نو هغه ترتیب چې تېره ربع یې کار کاوه کولای شي دا ربع ناکام شي پرته له دې چې څوک اعتبارنامې ته لاس وروړي۔ د هر ډول بیا تنظیم وروسته ترتیب شوې رشته د ډایرکټري اوسني ځانگړنې سره پرتله کړئ۔ دا د ارامې مهاجرت وروسته هم وکړئ، نه یوازې د راپور شوي بند وروسته۔
د لټون اساس خدمت حساب نه دی
د bind هویت او د لټون اساس بېلابېلو پوښتنو ته ځواب وایي: پلگ ان د چا په توګه تصدیق کېږي او خلک چېرته لټوي۔ بریالی bind چې هیڅ سمون خوړونکی کارن نه لري، د ساحې، فلټر یا د لوستلو اجازې ستونزه ده، او د حساب توپیر کوونکی نوم د کارنانو اساس سره بدلول په دې کې هېڅ نه بدلوي۔
تایید کړئ چې خدمت هغه ترتیب چې تاسو سمون کړی بار کړی، او چې د هغه پای ټکی، TLS باور او تصدیق حالت له یو کارکوونکي ازموینې سره سمون خوري۔ په بل حساب یا بل ډومین کنټرولر پروړاندې لاسي لټون مساوي تجربه نه ده۔
ذخیره شوې پټه وګورئ، او وګورئ چې حساب فعال، پای ته رسېدلی که بند دی، پرته له دې چې پټنوم چېرته چاپ کړئ۔ پای ته رسېدل اسانه دي چې له پامه ووځي ځکه حساب تر هغې ورځې کار کوي چې نور نه کار کوي۔ هغه بند چې له بېاړیکې خدمت څخه میراث شوی وي هم هومره غلی دی۔ د دواړو حالتونو څخه هیڅ یو هم هغه پیغام نه جوړوي چې خدمت حساب ونوموي۔
د ډلې قواعد په پای کې راځي
اجازه د bindونو له بریا وروسته چلېږي، نو د ډلې ګوره کولای نه شي د bind د ناکامۍ لامل وي، او د ډلې اړتیا لرې کول یې نه شي سمولای۔ که ننوتل اوس د ډلې مرحلې ته ورسیږي، پاتې ستونزه غړیتوب دی، نه اعتبارنامې۔
د تېروتنې د ورکېدو لپاره خدمت حساب ته پراخه ډایرکټري حقونه ورکول د ټول ځای پرځای کولو د لاسرسي تګلاره بدلوي۔ له دې سره د خپلې بیاکتنې سره امنیتي پرېکړه چلند وکړئ، نه د هغه پیغام لپاره حل چې لا یې هویت ته نه دی نسبت کړی۔