Ta LDAP pogreška lozinke možda uopće nije korisnička lozinka
Neuspjeh bind može doći od servisnog računa ili od područja pretrage, a ne od korisnika. Odvojite bind prije nego što ikome resetirate lozinku.
Resetiranje korisničke lozinke pogrešan je prvi potez kada zapis samo kaže da je bind odbijen. S dodatkom za imenik u jednoj prijavi postoji više od jednog bind, a odbijanje može pripadati servisnom računu koji obavlja pretragu. Resetiranje korisničkih vjerodajnica u tom slučaju ne mijenja ništa. Ono i zaključava nekoga tko nikada nije bio problem.
Jedna prijava, više bind
Konfiguracija s namjenskim računom imenika obično izvodi četiri koraka po redu, i bilo koji od njih može završiti prijavu.
connect to the directory and establish the configured TLS protection
bind as the configured service account
search for the user entry using the search base and filter
open a second connection and bind as that user, then evaluate groupsDodatak gradi svoju vezu za autentikaciju korisnika preko istog pomoćnika koji obrađuje prvu vezu, pa taj pomoćnik može pasti tijekom povezivanja, tijekom pregovaranja TLS-a ili tijekom bind kao servisni račun. Poruka visoke razine o lozinci generira se kasnije i ne nosi podatak o tome koji je identitet bio uključen. Zato tekst pogreške sam po sebi ne može reći je li odbijen korisnik ili servisni račun.
Pročitajte retke prije poruke i zabilježite trenutak kada se kvar dogodio. Odbijanje pri pokretanju, prije nego što dođe ijedan korisnik, upućuje na konfigurirani račun ili završnu točku. Odbijanje koje se pojavljuje samo za jednu osobu, nakon uspješne pretrage, upućuje na unos ili stanje računa te osobe.
Povežite pogrešku s identitetom
Praktično pravilo je zajedno zabilježiti tri stvari: kada je neuspjeh nastao, koja je operacija bila u tijeku i koji je identitet predstavljen. Bez te trojke dvije vrlo različite greške izgledaju jednako u zapisu koji čuva samo posljednju rečenicu.
| What the log shows | Identity likely refused | First thing to check |
|---|---|---|
| Failure at start-up, no user yet | Service account | DN, password, expiry, lockout |
| Search returns nothing | None, the search scope is wrong | Search base and filter |
| Failure only for one user | That user's entry | Entry state, bind DN, group rules |
Ako konfigurirani račun padne, pregledajte taj račun i vezu prije nego što dotaknete bilo koji korisnički zapis. Ako korisnički bind padne nakon uspješne pretrage, pregledajte unos koji je pretraga vratila, a ne onaj za koji ste pretpostavili da će ga vratiti. Dva puta dijele poruku i ništa drugo. Zapišite koji ste isključili, jer će sljedeća osoba pitati upravo to.
Razlikovno ime je podatak, ne pretpostavka
Promjena dijela imena jer izgleda nepoznato čest je način da se pokvari konfiguracija koja radi. Zadano mjesto korisničkih objekata u Active Directoryju je spremnik nazvan Users, a spremnik nije ista vrsta objekta kao organizacijska jedinica sličnog naziva.
Zatražite od administratora imenika stvarno razlikovno ime računa ili ga pročitajte iz samog objekta. Oba sljedeća mogu biti točna u vlastitom imeniku, zato nijedno ne treba tipkati po sjećanju.
CN=VPN Bind,CN=Users,DC=corp,DC=example
CN=VPN Bind,OU=Service Accounts,DC=corp,DC=examplePremještanje ili preimenovanje mijenja tu vrijednost dok račun i lozinka ostaju valjani, pa konfiguracija koja je radila prošli kvartal može pasti ovaj bez toga da itko dotakne vjerodajnicu. Usporedite konfigurirani niz s trenutnim atributom imenika nakon svake reorganizacije. Učinite to i nakon tihe migracije, ne samo nakon prijavljenog prekida.
Osnova pretrage nije servisni račun
Identitet bind i osnova pretrage odgovaraju na različita pitanja: kao koga se dodatak autentificira i gdje traži ljude. Uspješan bind nakon kojeg nema odgovarajućeg korisnika problem je opsega, filtra ili prava čitanja, a zamjena razlikovnog imena računa osnovom korisnika ne mijenja ništa u vezi s tim.
Provjerite da je usluga učitala konfiguraciju koju ste uredili i da se njezin završna točka, TLS povjerenje i način autentikacije podudaraju s radnim administrativnim testom. Ručna pretraga s drugim računom ili prema drugom kontroleru domene nije ekvivalentan pokus.
Provjerite pohranjenu tajnu i provjerite je li račun omogućen, istekao ili zaključan, bez ispisivanja lozinke bilo gdje. Istek je lako propustiti jer račun nastavlja raditi do dana kada prestane. Zaključavanje naslijeđeno od nepovezane usluge jednako je tiho. Nijedno od tih stanja ne stvara poruku koja imenuje servisni račun.
Pravila grupa dolaze posljednja
Autorizacija se izvodi nakon što bind uspije, pa provjera grupe ne može biti uzrok neuspjeha bind, a uklanjanje grupnog zahtjeva ne može ga popraviti. Ako prijava sada dosegne fazu grupe, preostali problem je članstvo, a ne vjerodajnice.
Davanje širokih prava imenika servisnom računu kako bi pogreška nestala mijenja politiku pristupa cijele implementacije. Tretirajte to kao sigurnosnu odluku s vlastitim pregledom, a ne kao popravak za poruku koju još niste pripisali identitetu.