ข้อผิดพลาดรหัสผ่าน LDAP นั้นอาจไม่ใช่รหัสผ่านของผู้ใช้เลย
ความล้มเหลวของ bind อาจมาจากบัญชีบริการหรือขอบเขตการค้นหา ไม่ใช่จากผู้ใช้ แยก bind ก่อนที่จะรีเซ็ตรหัสผ่านของใคร
การรีเซ็ตรหัสผ่านของผู้ใช้เป็นขั้นแรกที่ผิดเมื่อบันทึกบอกเพียงว่า bind ถูกปฏิเสธ ปลั๊กอินไดเรกทอรีมีการ bind มากกว่าหนึ่งครั้งในการเข้าสู่ระบบครั้งเดียว และการปฏิเสธอาจเป็นของบัญชีบริการที่ทำการค้นหา การรีเซ็ตข้อมูลรับรองของผู้ใช้ในกรณีนั้นไม่เปลี่ยนอะไรเลย อีกทั้งยังล็อกคนที่ไม่เคยเป็นปัญหาออกไปด้วย
การเข้าสู่ระบบครั้งเดียว มี bind หลายครั้ง
การกำหนดค่าที่มีบัญชีไดเรกทอรีโดยเฉพาะมักทำสี่ขั้นตอนตามลำดับ และขั้นตอนใดก็ตามสามารถจบการเข้าสู่ระบบได้
connect to the directory and establish the configured TLS protection
bind as the configured service account
search for the user entry using the search base and filter
open a second connection and bind as that user, then evaluate groupsปลั๊กอินสร้างการเชื่อมต่อสำหรับการพิสูจน์ตัวตนของผู้ใช้ผ่านตัวช่วยตัวเดียวกับที่จัดการการเชื่อมต่อแรก ตัวช่วยนั้นจึงอาจล้มเหลวขณะเชื่อมต่อ ขณะเจรจา TLS หรือขณะ bind ในฐานะบัญชีบริการ ข้อความระดับสูงเกี่ยวกับรหัสผ่านถูกสร้างขึ้นภายหลัง และไม่ได้ระบุว่าเป็นตัวตนใดที่เกี่ยวข้อง ดังนั้นข้อความข้อผิดพลาดเพียงอย่างเดียวจึงบอกไม่ได้ว่าผู้ใช้หรือบัญชีบริการถูกปฏิเสธ
อ่านบรรทัดก่อนข้อความ และบันทึกช่วงเวลาที่เกิดความล้มเหลว การปฏิเสธตอนเริ่มระบบก่อนที่ผู้ใช้จะมา ชี้ไปที่บัญชีที่กำหนดค่าไว้หรือปลายทาง การปฏิเสธที่เกิดกับคนเดียวหลังการค้นหาสำเร็จ ชี้ไปที่รายการหรือสถานะบัญชีของคนนั้น
จับคู่ข้อผิดพลาดกับตัวตน
หลักปฏิบัติคือบันทึกสามอย่างพร้อมกัน คือล้มเหลวเมื่อใด ดำเนินการใดอยู่ และนำเสนอตัวตนใด หากไม่มีสามอย่างนี้ ความผิดพลาดสองแบบที่ต่างกันมากจะดูเหมือนกันในบันทึกที่เก็บไว้เพียงประโยคสุดท้าย
| What the log shows | Identity likely refused | First thing to check |
|---|---|---|
| Failure at start-up, no user yet | Service account | DN, password, expiry, lockout |
| Search returns nothing | None, the search scope is wrong | Search base and filter |
| Failure only for one user | That user's entry | Entry state, bind DN, group rules |
ถ้าบัญชีที่กำหนดค่าไว้ล้มเหลว ให้ตรวจสอบบัญชีและการเชื่อมต่อนั้นก่อนแตะระเบียนผู้ใช้ใด ๆ ถ้า bind ของผู้ใช้ล้มเหลวหลังการค้นหาสำเร็จ ให้ตรวจสอบรายการที่การค้นหาส่งคืน ไม่ใช่รายการที่คุณคาดว่าจะได้รับ สองเส้นทางแบ่งปันเพียงข้อความเดียวเท่านั้น จดไว้ว่าคุณตัดเส้นทางใดออก เพราะคนถัดไปจะถามถึงเรื่องนั้น
ชื่อที่แตกต่างคือข้อมูล ไม่ใช่การเดา
การเปลี่ยนองค์ประกอบของชื่อเพราะดูไม่คุ้นเคยเป็นวิธีทั่วไปในการทำให้การกำหนดค่าที่ใช้งานได้เสียหาย ตำแหน่งเริ่มต้นของออบเจ็กต์ผู้ใช้ใน Active Directory คือคอนเทนเนอร์ชื่อ Users และคอนเทนเนอร์ไม่ใช่ออบเจ็กต์ชนิดเดียวกับหน่วยองค์กรที่มีชื่อคล้ายกัน
ขอชื่อที่แตกต่างอย่างแท้จริงของบัญชีจากผู้ดูแลไดเรกทอรี หรืออ่านจากออบเจ็กต์เอง ทั้งสองแบบด้านล่างอาจถูกต้องในไดเรกทอรีของตัวเอง จึงไม่ควรพิมพ์จากความจำ
CN=VPN Bind,CN=Users,DC=corp,DC=example
CN=VPN Bind,OU=Service Accounts,DC=corp,DC=exampleการย้ายหรือเปลี่ยนชื่อจะเปลี่ยนค่านั้นในขณะที่บัญชีและรหัสผ่านยังใช้ได้ การกำหนดค่าที่เคยทำงานเมื่อไตรมาสก่อนจึงอาจล้มเหลวในไตรมาสนี้โดยไม่มีใครแตะข้อมูลรับรอง เปรียบเทียบสตริงที่กำหนดค่าไว้กับแอตทริบิวต์ปัจจุบันของไดเรกทอรีหลังการจัดระเบียบใหม่ทุกครั้ง ทำเช่นนี้หลังการย้ายข้อมูลแบบเงียบด้วย ไม่ใช่เฉพาะหลังเหตุขัดข้องที่มีรายงาน
ฐานการค้นหาไม่ใช่บัญชีบริการ
ตัวตนของ bind และฐานการค้นหาตอบคำถามต่างกัน คือปลั๊กอินพิสูจน์ตัวตนในฐานะใครและค้นหาผู้คนที่ใด bind ที่สำเร็จแต่ไม่พบผู้ใช้ที่ตรงกันเป็นปัญหาด้านขอบเขต ตัวกรอง หรือสิทธิ์การอ่าน และการแทนที่ชื่อที่แตกต่างของบัญชีด้วยฐานของผู้ใช้ไม่เปลี่ยนสิ่งนั้น
ยืนยันว่าบริการโหลดการกำหนดค่าที่คุณแก้ไขแล้ว และ ปลายทาง ความเชื่อถือ TLS และโหมดการพิสูจน์ตัวตน ตรงกับการทดสอบของผู้ดูแลระบบที่ใช้งานได้ การค้นหาด้วยมือด้วยบัญชีอื่น หรือกับตัวควบคุมโดเมนอื่น ไม่ใช่การทดลองที่เทียบเท่า
ตรวจสอบความลับที่จัดเก็บไว้ และตรวจสอบว่าบัญชีเปิดใช้งาน หมดอายุ หรือถูกล็อก โดยไม่พิมพ์รหัสผ่านที่ใดเลย การหมดอายุเป็นเรื่องง่ายที่จะมองข้ามเพราะบัญชียังทำงานจนถึงวันที่ไม่ทำงาน การล็อกที่สืบทอดมาจากบริการที่ไม่เกี่ยวข้องก็เงียบเช่นกัน ไม่มีเงื่อนไขใดในสองข้อนี้ที่สร้างข้อความซึ่งระบุชื่อบัญชีบริการ
กฎของกลุ่มมาเป็นลำดับสุดท้าย
การอนุญาตทำงานหลัง bind สำเร็จ การตรวจสอบกลุ่มจึงเป็นสาเหตุของความล้มเหลวของ bind ไม่ได้ และการลบข้อกำหนดกลุ่มก็ซ่อมแซมไม่ได้ หากการเข้าสู่ระบบมาถึงขั้นตอนกลุ่มแล้ว ปัญหาที่เหลือคือความเป็นสมาชิก ไม่ใช่ข้อมูลรับรอง
การให้สิทธิ์ไดเรกทอรีในวงกว้างแก่บัญชีบริการเพื่อให้ข้อผิดพลาดหายไปจะเปลี่ยนนโยบายการเข้าถึงของการติดตั้งทั้งหมด มองสิ่งนี้เป็นการตัดสินใจด้านความปลอดภัยที่มีการทบทวนของตัวเอง ไม่ใช่การแก้ไขสำหรับข้อความที่คุณยังไม่ได้ระบุตัวตน