Táto chyba hesla LDAP nemusí byť vôbec heslom používateľa

Resetovanie hesla používateľa je nesprávny prvý krok, keď záznam hovorí len to, že bind bol odmietnutý. S doplnkom pre adresár je v jednom prihlásení viac ako jeden bind a odmietnutie môže patriť servisnému účtu, ktorý vykonáva vyhľadávanie. Resetovanie prihlasovacích údajov používateľa v takom prípade nič nezmení. Zamkne tiež niekoho, kto nikdy nebol problémom.

Jedno prihlásenie, viac bind

Konfigurácia s vyhradeným účtom adresára zvyčajne vykonáva štyri kroky v poradí a ktorýkoľvek z nich môže prihlásenie ukončiť.

connect to the directory and establish the configured TLS protection
bind as the configured service account
search for the user entry using the search base and filter
open a second connection and bind as that user, then evaluate groups

Doplnok zostavuje svoje pripojenie na autentifikáciu používateľa cez toho istého pomocníka, ktorý spracúva prvé pripojenie, takže ten pomocník môže zlyhať pri pripájaní, pri vyjednávaní TLS alebo pri bind ako servisný účet. Správa na vysokej úrovni o hesle sa generuje neskôr a neobsahuje informáciu, ktorá identita bola zapojená. Preto samotný text chyby nemôže povedať, či bol odmietnutý používateľ alebo servisný účet.

Prečítajte si riadky pred správou a poznamenajte si okamih, kedy k zlyhaniu došlo. Odmietnutie pri štarte, skôr než príde akýkoľvek používateľ, ukazuje na nakonfigurovaný účet alebo koncový bod. Odmietnutie, ktoré sa objaví len pre jednu osobu, po úspešnom vyhľadávaní, ukazuje na záznam alebo stav účtu tejto osoby.

Prepojte chybu s identitou

Praktické pravidlo je zapísať tri veci spolu: kedy to zlyhalo, ktorá operácia prebiehala a ktorá identita bola predložená. Bez tejto trojice vyzerajú dve veľmi odlišné poruchy v zázname, ktorý uchováva len poslednú vetu, rovnako.

Ak nakonfigurovaný účet zlyhá, preskúmajte ten účet a pripojenie skôr, než sa dotknete akéhokoľvek používateľského záznamu. Ak bind používateľa zlyhá po úspešnom vyhľadávaní, preskúmajte záznam, ktorý vyhľadávanie vrátilo, a nie ten, o ktorom ste predpokladali, že ho vráti. Obe cesty zdieľajú správu a nič iné. Zapíšte si, ktorú ste vylúčili, pretože nasledujúca osoba sa bude pýtať presne to.

Rozlišujúce meno je údaj, nie dohad

Zmena komponentu názvu preto, že vyzerá neznámo, je bežný spôsob, ako pokaziť fungujúcu konfiguráciu. Predvolené miesto používateľských objektov v Active Directory je kontajner s názvom Users a kontajner nie je rovnaký typ objektu ako organizačná jednotka s podobným názvom.

Požiadajte správcu adresára o skutočné rozlišujúce meno účtu alebo ho prečítajte zo samotného objektu. Obe nasledujúce môžu byť vo vlastnom adresári správne, preto sa ani jedno nemá písať z pamäti.

CN=VPN Bind,CN=Users,DC=corp,DC=example
CN=VPN Bind,OU=Service Accounts,DC=corp,DC=example

Presun alebo premenovanie mení túto hodnotu, zatiaľ čo účet a heslo zostávajú platné, takže konfigurácia, ktorá fungovala minulý štvrťrok, môže tento zlyhať bez toho, aby sa niekto dotkol prihlasovacích údajov. Po každej reorganizácii porovnajte nakonfigurovaný reťazec s aktuálnym atribútom adresára. Urobte to aj po tichej migrácii, nie len po nahlásenom výpadku.

Základňa vyhľadávania nie je servisný účet

Identita bind a základňa vyhľadávania odpovedajú na odlišné otázky: ako koho sa doplnok autentifikuje a kde hľadá ľudí. Úspešný bind, po ktorom nenasleduje zodpovedajúci používateľ, je problém rozsahu, filtra alebo práva čítania, a nahradenie rozlišujúceho mena účtu základňou používateľov na tom nič nemení.

Potvrďte, že služba načítala konfiguráciu, ktorú ste upravili, a že jej koncový bod, dôvera TLS a režim autentifikácie zodpovedajú fungujúcemu administratívnemu testu. Manuálne vyhľadávanie s iným účtom alebo voči inému radiču domény nie je rovnocenný experiment.

Skontrolujte uložené tajomstvo a skontrolujte, či je účet povolený, exspirovaný alebo uzamknutý, bez toho, aby ste heslo kdekoľvek vytlačili. Exspiráciu je ľahké prehliadnuť, pretože účet funguje až do dňa, keď prestane. Uzamknutie zdedené z nesúvisiacej služby je rovnako tiché. Ani jeden z týchto stavov nevytvára správu, ktorá by pomenovala servisný účet.

Pravidlá skupín prichádzajú posledné

Autorizácia sa spúšťa po úspešnom bind, takže kontrola skupiny nemôže byť príčinou zlyhania bind a odstránenie požiadavky na skupinu ho nemôže opraviť. Ak sa prihlásenie teraz dostane do fázy skupiny, zostávajúci problém je členstvo, nie prihlasovacie údaje.

Udelenie širokých práv adresára servisnému účtu, aby chyba zmizla, mení prístupovú politiku celého nasadenia. Berte to ako bezpečnostné rozhodnutie s vlastným preskúmaním, nie ako opravu správy, ktorú ste ešte nepriradili identite.