அந்த LDAP கடவுச்சொல் பிழை பயனரின் கடவுச்சொல்லாக இல்லாமல் இருக்கலாம்
bind தோல்வி சேவைக் கணக்கிலிருந்தோ தேடல் எல்லையிலிருந்தோ வரலாம், பயனரிடமிருந்து அல்ல. யாருடைய கடவுச்சொல்லையும் மீட்டமைக்கும் முன் bind-ஐப் பிரிக்கவும்.
பதிவு bind நிராகரிக்கப்பட்டது என்று மட்டும் சொல்லும்போது பயனரின் கடவுச்சொல்லை மீட்டமைப்பது தவறான முதல் நடவடிக்கை. அடைவு செருகுநிரலுடன் ஒரு உள்நுழைவில் ஒன்றுக்கு மேற்பட்ட bind உள்ளன, மேலும் நிராகரிப்பு தேடலைச் செய்யும் சேவைக் கணக்கிற்கு உரியதாக இருக்கலாம். அந்த நிலையில் பயனரின் சான்றுகளை மீட்டமைப்பது எதையும் மாற்றாது. அது ஒருபோதும் பிரச்சினையாக இல்லாத ஒருவரையும் வெளியே வைக்கிறது.
ஒரு உள்நுழைவு, பல bind
தனிப்பட்ட அடைவுக் கணக்கைக் கொண்ட கட்டமைப்பு பொதுவாக வரிசையாக நான்கு படிகளைச் செய்கிறது, அவற்றில் எதுவும் உள்நுழைவை முடிக்கலாம்.
connect to the directory and establish the configured TLS protection
bind as the configured service account
search for the user entry using the search base and filter
open a second connection and bind as that user, then evaluate groupsசெருகுநிரல் தனது பயனர் அங்கீகார இணைப்பை முதல் இணைப்பைக் கையாளும் அதே உதவியாளர் வழியாக உருவாக்குகிறது, எனவே அந்த உதவியாளர் இணைக்கும்போது, TLS பேச்சுவார்த்தையின்போது அல்லது சேவைக் கணக்காக bind செய்யும்போது தோல்வியடையலாம். கடவுச்சொல் பற்றிய உயர் மட்டச் செய்தி பின்னர் உருவாக்கப்படுகிறது, அதில் எந்த அடையாளம் ஈடுபட்டது என்பது இல்லை. எனவே பிழை உரை மட்டும் பயனர் அல்லது சேவைக் கணக்கு நிராகரிக்கப்பட்டதா என்று சொல்ல முடியாது.
செய்திக்கு முந்தைய வரிகளைப் படித்து, தோல்வி நிகழ்ந்த தருணத்தைக் குறிக்கவும். தொடக்கத்தில், எந்தப் பயனரும் வருவதற்கு முன் ஏற்படும் நிராகரிப்பு கட்டமைக்கப்பட்ட கணக்கு அல்லது இறுதிப் புள்ளியைக் குறிக்கிறது. வெற்றிகரமான தேடலுக்குப் பிறகு ஒருவருக்கு மட்டும் தோன்றும் நிராகரிப்பு அந்த நபரின் பதிவு அல்லது கணக்கு நிலையைக் குறிக்கிறது.
பிழையை அடையாளத்துடன் இணைக்கவும்
நடைமுறை விதி மூன்று விஷயங்களை ஒன்றாகப் பதிவு செய்வது: எப்போது தோல்வியடைந்தது, எந்தச் செயல்பாடு இயங்கியது மற்றும் எந்த அடையாளம் வழங்கப்பட்டது. அந்த மும்மையில்லாமல், கடைசி வாக்கியத்தை மட்டும் வைத்திருக்கும் பதிவில் இரண்டு மிக வேறுபட்ட கோளாறுகள் ஒரே மாதிரி தெரிகின்றன.
| What the log shows | Identity likely refused | First thing to check |
|---|---|---|
| Failure at start-up, no user yet | Service account | DN, password, expiry, lockout |
| Search returns nothing | None, the search scope is wrong | Search base and filter |
| Failure only for one user | That user's entry | Entry state, bind DN, group rules |
கட்டமைக்கப்பட்ட கணக்கு தோல்வியடைந்தால், எந்தப் பயனர் பதிவையும் தொடுவதற்கு முன் அந்தக் கணக்கையும் இணைப்பையும் பரிசோதிக்கவும். வெற்றிகரமான தேடலுக்குப் பிறகு பயனரின் bind தோல்வியடைந்தால், தேடல் திருப்பிய பதிவைப் பரிசோதிக்கவும், நீங்கள் எதிர்பார்த்த பதிவை அல்ல. இரண்டு பாதைகளும் ஒரு செய்தியை மட்டுமே பகிர்ந்து கொள்கின்றன. நீங்கள் எதை விலக்கினீர்கள் என்று எழுதுங்கள், ஏனெனில் அடுத்த நபர் அதைத்தான் கேட்பார்.
தனிச்சிறப்புப் பெயர் தரவு, ஊகம் அல்ல
பெயரின் ஒரு கூறு அறிமுகமில்லாததாகத் தோன்றுவதால் அதை மாற்றுவது இயங்கும் கட்டமைப்பை உடைக்கும் பொதுவான வழியாகும். Active Directory-இல் பயனர் பொருட்களின் இயல்புநிலை இடம் Users எனப்படும் கொள்கலன், மேலும் கொள்கலன் ஒத்த பெயரைக் கொண்ட நிறுவன அலகு போன்ற அதே வகைப் பொருள் அல்ல.
கணக்கின் உண்மையான தனிச்சிறப்புப் பெயரை அடைவு நிர்வாகியிடம் கேளுங்கள், அல்லது பொருளிலிருந்தே படியுங்கள். கீழே உள்ள இரண்டும் அவற்றின் சொந்த அடைவில் சரியாக இருக்கலாம், எனவே எதையும் நினைவில் இருந்து தட்டச்சு செய்யக்கூடாது.
CN=VPN Bind,CN=Users,DC=corp,DC=example
CN=VPN Bind,OU=Service Accounts,DC=corp,DC=exampleநகர்த்துதல் அல்லது பெயர் மாற்றம் அந்த மதிப்பை மாற்றுகிறது, கணக்கும் கடவுச்சொல்லும் செல்லுபடியாகவே இருக்கும், எனவே கடந்த காலாண்டில் இயங்கிய கட்டமைப்பு இந்தக் காலாண்டில் யாரும் சான்றுகளைத் தொடாமலே தோல்வியடையலாம். எந்த மறுசீரமைப்புக்குப் பிறகும் கட்டமைக்கப்பட்ட சரத்தை அடைவின் தற்போதைய பண்புடன் ஒப்பிடுங்கள். அமைதியான இடமாற்றத்திற்குப் பிறகும் இதைச் செய்யுங்கள், அறிவிக்கப்பட்ட குறுக்கீட்டிற்குப் பிறகு மட்டும் அல்ல.
தேடல் அடிப்படை சேவைக் கணக்கு அல்ல
bind அடையாளமும் தேடல் அடிப்படையும் வெவ்வேறு கேள்விகளுக்குப் பதிலளிக்கின்றன: செருகுநிரல் யாராக அங்கீகரிக்கிறது, மக்களை எங்கே தேடுகிறது. வெற்றிகரமான bind-க்குப் பிறகு பொருந்தும் பயனர் இல்லாதது எல்லை, வடிகட்டி அல்லது படிக்கும் அனுமதியின் பிரச்சினை, கணக்கின் தனிச்சிறப்புப் பெயரைப் பயனர்களின் அடிப்படையால் மாற்றுவது அதில் எதையும் மாற்றாது.
சேவை நீங்கள் திருத்திய கட்டமைப்பை ஏற்றியதையும், அதன் இறுதிப் புள்ளி, TLS நம்பிக்கை மற்றும் அங்கீகார முறை இயங்கும் நிர்வாகச் சோதனையுடன் பொருந்துவதையும் உறுதிப்படுத்துங்கள். வேறு கணக்குடன் அல்லது வேறு டொமைன் கட்டுப்படுத்திக்கு எதிராகச் செய்யும் கைமுறைத் தேடல் சமமான பரிசோதனை அல்ல.
சேமிக்கப்பட்ட ரகசியத்தைச் சரிபார்த்து, கணக்கு இயக்கப்பட்டுள்ளதா, காலாவதியானதா அல்லது பூட்டப்பட்டுள்ளதா என்பதைக் கடவுச்சொல்லை எங்கும் அச்சிடாமல் சரிபாருங்கள். காலாவதியைத் தவறவிடுவது எளிது, ஏனெனில் கணக்கு செயல்படாத நாள் வரை செயல்படும். தொடர்பில்லாத சேவையிலிருந்து மரபுரிமையாக வந்த பூட்டும் அவ்வளவு அமைதியாகவே இருக்கும். இந்த இரண்டு நிலைகளில் எதுவும் சேவைக் கணக்கைப் பெயரிடும் செய்தியை உருவாக்காது.
குழு விதிகள் கடைசியில் வரும்
bind வெற்றியடைந்த பிறகு அனுமதி இயங்குகிறது, எனவே குழு சரிபார்ப்பு bind தோல்விக்குக் காரணமாக இருக்க முடியாது, குழுத் தேவையை நீக்குவதால் அதைச் சரிசெய்ய முடியாது. உள்நுழைவு இப்போது குழு நிலைக்கு வந்தால், மீதமுள்ள பிரச்சினை உறுப்பினர் நிலை, சான்றுகள் அல்ல.
பிழை மறைய சேவைக் கணக்கிற்கு பரந்த அடைவு உரிமைகளை வழங்குவது முழு வரிசைப்படுத்தலின் அணுகல் கொள்கையை மாற்றுகிறது. அதை அதன் சொந்த மறுஆய்வுடன் கூடிய பாதுகாப்பு முடிவாகக் கருதுங்கள், நீங்கள் இன்னும் ஒரு அடையாளத்திற்குக் கூறாத செய்திக்கான தீர்வாக அல்ல.