Та LDAP грешка лозинке можда уопште није корисничка лозинка
Неуспех bind може доћи од сервисног налога или од подручја претраге, а не од корисника. Одвојте bind пре него што некоме ресетујете лозинку.
Ресетовање корисничке лозинке погрешан је први потез када запис само каже да је bind одбијен. Са додатком за именик у једној пријави постоји више од једног bind, а одбијање може припадати сервисном налогу који обавља претрагу. Ресетовање корисничких акредитива у том случају не мења ништа. Оно и закључава некога ко никада није био проблем.
Једна пријава, више bind
Конфигурација са наменским налогом именика обично изводи четири корака по реду, и било који од њих може завршити пријаву.
connect to the directory and establish the configured TLS protection
bind as the configured service account
search for the user entry using the search base and filter
open a second connection and bind as that user, then evaluate groupsДодатак гради своју везу за аутентикацију корисника преко истог помоћника који обрађује прву везу, па тај помоћник може пасти током повезивања, током преговарања о TLS-у или током bind као сервисни налог. Порука високог нивоа о лозинци генерише се касније и не носи податак о томе који је идентитет био укључен. Зато текст грешке сам по себи не може рећи да ли је одбијен корисник или сервисни налог.
Прочитајте редове пре поруке и забележите тренутак када се квар догодио. Одбијање при покретању, пре него што дође иједан корисник, указује на конфигурисани налог или завршну тачку. Одбијање које се појављује само за једну особу, након успешне претраге, указује на унос или стање налога те особе.
Повежите грешку са идентитетом
Практично правило је да заједно забележите три ствари: када је неуспех настао, која је операција била у току и који је идентитет представљен. Без те тројке две веома различите грешке изгледају једнако у запису који чува само последњу реченицу.
| What the log shows | Identity likely refused | First thing to check |
|---|---|---|
| Failure at start-up, no user yet | Service account | DN, password, expiry, lockout |
| Search returns nothing | None, the search scope is wrong | Search base and filter |
| Failure only for one user | That user's entry | Entry state, bind DN, group rules |
Ако конфигурисани налог падне, прегледајте тај налог и везу пре него што дотакнете било који кориснички запис. Ако кориснички bind падне након успешне претраге, прегледајте унос који је претрага вратила, а не онај за који сте претпоставили да ће га вратити. Два пута деле поруку и ништа друго. Запишите који сте искључили, јер ће следећа особа питати управо то.
Разликовно име је податак, не претпоставка
Промена дела имена јер изгледа непознато чест је начин да се поквари конфигурација која ради. Подразумевано место корисничких објеката у Active Directory је контејнер назван Users, а контејнер није иста врста објекта као организациона јединица сличног назива.
Затражите од администратора именика стварно разликовно име налога или га прочитајте из самог објекта. Оба следећа могу бити тачна у сопственом именику, зато ниједно не треба куцати по сећању.
CN=VPN Bind,CN=Users,DC=corp,DC=example
CN=VPN Bind,OU=Service Accounts,DC=corp,DC=exampleПремештање или преименовање мења ту вредност док налог и лозинка остају важећи, па конфигурација која је радила прошли квартал може пасти овај без тога да ико дотакне акредитив. Упоредите конфигурисани низ са тренутним атрибутом именика након сваке реорганизације. Учините то и након тихе миграције, не само након пријављеног прекида.
Основа претраге није сервисни налог
Идентитет bind и основа претраге одговарају на различита питања: као кога се додатак аутентификује и где тражи људе. Успешан bind након којег нема одговарајућег корисника проблем је опсега, филтера или права читања, а замена разликовног имена налога основом корисника не мења ништа у вези с тим.
Проверите да је услуга учитала конфигурацију коју сте уредили и да се њен завршна тачка, TLS поверење и начин аутентикације подударају са радним административним тестом. Ручна претрага са другим налогом или према другом контролеру домена није еквивалентан покушај.
Проверите сачувану тајну и проверите да ли је налог омогућен, истекао или закључан, без исписивања лозинке било где. Истек је лако пропустити јер налог наставља да ради до дана када престане. Закључавање наслеђено од неповезане услуге једнако је тихо. Ниједно од та два стања не ствара поруку која именује сервисни налог.
Правила група долазе последња
Ауторизација се изводи након што bind успе, па провера групе не може бити узрок неуспеха bind, а уклањање групног захтева не може га поправити. Ако пријава сада достигне фазу групе, преостали проблем је чланство, а не акредитиви.
Давање широких права именика сервисном налогу како би грешка нестала мења политику приступа целе реализације. Третирајте то као безбедносну одлуку са сопственим прегледом, а не као поправку за поруку коју још нисте приписали идентитету.