Hitilafu hiyo ya nenosiri la LDAP inaweza kuwa si nenosiri la mtumiaji
Kushindwa kwa bind kunaweza kutoka kwa akaunti ya huduma au wigo wa utafutaji, si kwa mtumiaji. Tenganisha bind kabla ya kuweka upya nenosiri la mtu yeyote.
Kuweka upya nenosiri la mtumiaji ni hatua ya kwanza isiyo sahihi wakati kumbukumbu inasema tu kwamba bind ilikataliwa. Kwa programu-jalizi ya saraka kuna zaidi ya bind moja katika kuingia moja, na kukataliwa kunaweza kuwa kwa akaunti ya huduma inayofanya utafutaji. Kuweka upya vitambulisho vya mtumiaji katika hali hiyo hakubadilishi chochote. Pia humfunga nje mtu ambaye hakuwa tatizo kamwe.
Kuingia kumoja, bind nyingi
Usanidi wenye akaunti maalum ya saraka kwa kawaida hufanya hatua nne kwa mpangilio, na yoyote kati yao inaweza kumaliza kuingia.
connect to the directory and establish the configured TLS protection
bind as the configured service account
search for the user entry using the search base and filter
open a second connection and bind as that user, then evaluate groupsProgramu-jalizi huunda muunganisho wake wa uthibitishaji wa mtumiaji kupitia msaidizi yule yule anayeshughulikia muunganisho wa kwanza, kwa hivyo msaidizi huyo anaweza kushindwa wakati wa kuunganisha, wakati wa majadiliano ya TLS au wakati wa bind kama akaunti ya huduma. Ujumbe wa ngazi ya juu kuhusu nenosiri huzalishwa baadaye, na haubebi ni utambulisho upi ulihusika. Ndiyo sababu maandishi ya hitilafu peke yake hayawezi kukuambia kama mtumiaji au akaunti ya huduma ilikataliwa.
Soma mistari kabla ya ujumbe, na uangalie wakati ambapo kushindwa kulitokea. Kukataliwa mwanzoni, kabla ya mtumiaji yeyote kufika, kunaonyesha akaunti iliyosanidiwa au sehemu ya mwisho. Kukataliwa kunakoonekana kwa mtu mmoja tu, baada ya utafutaji kufaulu, kunaonyesha ingizo au hali ya akaunti ya mtu huyo.
Oanisha hitilafu na utambulisho
Kanuni ya vitendo ni kurekodi mambo matatu pamoja: ilishindwa lini, operesheni gani ilikuwa ikiendeshwa na utambulisho upi uliwasilishwa. Bila utatu huo, hitilafu mbili tofauti sana zinaonekana sawa katika kumbukumbu inayohifadhi sentensi ya mwisho pekee.
| What the log shows | Identity likely refused | First thing to check |
|---|---|---|
| Failure at start-up, no user yet | Service account | DN, password, expiry, lockout |
| Search returns nothing | None, the search scope is wrong | Search base and filter |
| Failure only for one user | That user's entry | Entry state, bind DN, group rules |
Ikiwa akaunti iliyosanidiwa inashindwa, kagua akaunti hiyo na muunganisho kabla ya kugusa rekodi yoyote ya mtumiaji. Ikiwa bind ya mtumiaji inashindwa baada ya utafutaji kufaulu, chunguza ingizo lililorejeshwa na utafutaji, si lile ulilodhani litarejeshwa. Njia hizo mbili zinashiriki ujumbe mmoja na hakuna kingine. Andika ni ipi uliyoondoa, kwa sababu mtu anayefuata atauliza hilo hasa.
Jina bainifu ni data, si dhahania
Kubadilisha sehemu ya jina kwa sababu inaonekana isiyojulikana ni njia ya kawaida ya kuvunja usanidi unaofanya kazi. Mahali pa kawaida pa vitu vya mtumiaji katika Active Directory ni kontena linaloitwa Users, na kontena si aina moja ya kitu kama kitengo cha shirika lenye jina linalofanana.
Muulize msimamizi wa saraka jina bainifu halisi la akaunti, au lisome kutoka kwa kitu chenyewe. Zote mbili zifuatazo zinaweza kuwa sahihi katika saraka zao, ndiyo sababu hakuna moja inayopaswa kuandikwa kutoka kwa kumbukumbu.
CN=VPN Bind,CN=Users,DC=corp,DC=example
CN=VPN Bind,OU=Service Accounts,DC=corp,DC=exampleKuhamisha au kubadilisha jina hubadilisha thamani hiyo wakati akaunti na nenosiri zinabaki halali, kwa hivyo usanidi uliofanya kazi robo iliyopita unaweza kushindwa robo hii bila mtu yeyote kugusa kitambulisho. Linganisha mfuatano uliosanidiwa na sifa ya sasa ya saraka baada ya mpangilio wowote upya. Fanya hivyo pia baada ya uhamishaji tulivu, si tu baada ya hitilafu iliyoripotiwa.
Msingi wa utafutaji si akaunti ya huduma
Utambulisho wa bind na msingi wa utafutaji hujibu maswali tofauti: programu-jalizi inajithibitisha kama nani na inawatafuta watu wapi. Bind iliyofaulu ikifuatiwa na mtumiaji yeyote anayelingana ni tatizo la wigo, kichujio au ruhusa ya kusoma, na kubadilisha jina bainifu la akaunti na msingi wa watumiaji hakubadilishi chochote kuhusu hilo.
Thibitisha kwamba huduma ilipakia usanidi uliouhariri na kwamba sehemu yake ya mwisho, uaminifu wa TLS na hali ya uthibitishaji vinalingana na jaribio la utawala linalofanya kazi. Utafutaji wa mwongozo kwa akaunti nyingine, au dhidi ya kidhibiti kingine cha kikoa, si jaribio sawa.
Kagua siri iliyohifadhiwa, na kagua kama akaunti imewezeshwa, imeisha muda au imefungwa, bila kuchapisha nenosiri popote. Muda wa mwisho ni rahisi kukosa kwa sababu akaunti inaendelea kufanya kazi hadi siku ambayo haifanyi. Kufungwa kulikorithiwa kutoka kwa huduma isiyohusiana ni kimya vile vile. Hakuna hali yoyote kati ya hizi mbili inayozalisha ujumbe unaotaja akaunti ya huduma.
Kanuni za kikundi huja mwisho
Uidhinishaji hufanyika baada ya bind kufaulu, kwa hivyo ukaguzi wa kikundi hauwezi kuwa sababu ya kushindwa kwa bind, na kuondoa sharti la kikundi hakuwezi kuirekebisha. Ikiwa kuingia sasa kunafikia hatua ya kikundi, tatizo lililobaki ni uanachama, si vitambulisho.
Kumpa akaunti ya huduma haki pana za saraka ili hitilafu itoweke hubadilisha sera ya ufikiaji ya usambazaji wote. Chukulia hilo kama uamuzi wa usalama wenye mapitio yake, si kama rekebisho la ujumbe ambao bado hujauhusisha na utambulisho.