O LDAP parola hatası kullanıcının parolası olmayabilir

Günlük yalnızca bir bind'ın reddedildiğini söylediğinde kullanıcının parolasını sıfırlamak yanlış ilk adımdır. Bir dizin eklentisinde tek bir oturum açmada birden fazla bind vardır ve ret, aramayı yapan hizmet hesabına ait olabilir. Bu durumda kullanıcının kimlik bilgilerini sıfırlamak hiçbir şeyi değiştirmez. Ayrıca hiçbir zaman sorun olmayan birini de kilitler.

Tek oturum, birden fazla bind

Kendine ait bir dizin hesabı olan bir yapılandırma genellikle sırayla dört adım gerçekleştirir ve bunlardan herhangi biri oturum açmayı sonlandırabilir.

connect to the directory and establish the configured TLS protection
bind as the configured service account
search for the user entry using the search base and filter
open a second connection and bind as that user, then evaluate groups

Eklenti, kullanıcı kimlik doğrulama bağlantısını ilk bağlantıyı işleyen aynı yardımcı üzerinden kurar, bu nedenle o yardımcı bağlanırken, TLS görüşmesi sırasında veya hizmet hesabı olarak bind yaparken başarısız olabilir. Parola hakkındaki üst düzey ileti daha sonra üretilir ve hangi kimliğin dahil olduğunu taşımaz. Bu yüzden yalnızca hata metni kullanıcının mı yoksa hizmet hesabının mı reddedildiğini söyleyemez.

İletiden önceki satırları okuyun ve hatanın gerçekleştiği anı not edin. Başlangıçta, henüz hiçbir kullanıcı gelmeden yaşanan ret yapılandırılmış hesaba veya uç noktaya işaret eder. Başarılı bir aramadan sonra yalnızca tek bir kişi için görünen ret, o kişinin kaydına veya hesap durumuna işaret eder.

Hatayı bir kimlikle eşleştirin

Pratik kural üç şeyi birlikte kaydetmektir: ne zaman başarısız oldu, hangi işlem çalışıyordu ve hangi kimlik sunuldu. Bu üçlü olmadan, yalnızca son cümleyi saklayan bir günlükte iki çok farklı arıza aynı görünür.

Yapılandırılmış hesap başarısız olursa, herhangi bir kullanıcı kaydına dokunmadan önce o hesabı ve bağlantıyı inceleyin. Başarılı bir aramadan sonra kullanıcının bind'ı başarısız olursa, aramanın döndürdüğü kaydı inceleyin, döndüreceğini varsaydığınız kaydı değil. İki yol yalnızca bir iletiyi paylaşır. Hangisini dışladığınızı yazın, çünkü bir sonraki kişi tam olarak bunu soracak.

Ayırt edici ad veridir, tahmin değil

Bir ad bileşenini tanıdık görünmediği için değiştirmek, çalışan bir yapılandırmayı bozmanın yaygın bir yoludur. Active Directory'de kullanıcı nesnelerinin varsayılan konumu Users adlı bir kapsayıcıdır ve kapsayıcı, benzer adlı bir kuruluş birimiyle aynı tür nesne değildir.

Dizin yöneticisinden hesabın gerçek ayırt edici adını isteyin veya nesnenin kendisinden okuyun. Aşağıdakilerin ikisi de kendi dizinlerinde doğru olabilir, bu yüzden hiçbiri ezberden yazılmamalıdır.

CN=VPN Bind,CN=Users,DC=corp,DC=example
CN=VPN Bind,OU=Service Accounts,DC=corp,DC=example

Bir taşıma veya yeniden adlandırma, hesap ve parola geçerli kalırken bu değeri değiştirir, bu yüzden geçen çeyrekte çalışan bir yapılandırma, kimse bir kimlik bilgisine dokunmadan bu çeyrekte başarısız olabilir. Herhangi bir yeniden yapılanmadan sonra yapılandırılmış dizeyi dizinin güncel özniteliğiyle karşılaştırın. Bunu sessiz bir geçişten sonra da yapın, yalnızca bildirilen bir kesintiden sonra değil.

Arama tabanı bir hizmet hesabı değildir

Bind kimliği ve arama tabanı farklı soruları yanıtlar: eklentinin kim olarak kimlik doğruladığı ve insanları nerede aradığı. Başarılı bir bind'ı eşleşen hiçbir kullanıcının izlememesi kapsam, filtre veya okuma izni sorunudur ve hesabın ayırt edici adını kullanıcıların tabanıyla değiştirmek bunda hiçbir şeyi değiştirmez.

Hizmetin düzenlediğiniz yapılandırmayı yüklediğini ve uç noktası, TLS güveni ve kimlik doğrulama modunun çalışan bir yönetici testiyle eşleştiğini doğrulayın. Başka bir hesapla veya başka bir etki alanı denetleyicisine karşı yapılan el ile arama eşdeğer bir deney değildir.

Saklanan sırrı kontrol edin ve hesabın etkin, süresi dolmuş veya kilitli olup olmadığını parolayı hiçbir yere yazdırmadan kontrol edin. Süre dolmasını kaçırmak kolaydır çünkü hesap çalışmadığı güne kadar çalışmaya devam eder. İlgisiz bir hizmetten devralınan kilit de aynı derecede sessizdir. Bu iki durumun hiçbiri hizmet hesabını adlandıran bir ileti üretmez.

Grup kuralları en sona gelir

Yetkilendirme bind'lar başarılı olduktan sonra çalışır, bu nedenle bir grup kontrolü bind hatasının nedeni olamaz ve grup gereksinimini kaldırmak bunu onaramaz. Oturum açma artık grup aşamasına ulaşıyorsa, kalan sorun üyeliktir, kimlik bilgileri değil.

Hatanın kaybolması için hizmet hesabına geniş dizin hakları vermek tüm dağıtımın erişim politikasını değiştirir. Bunu kendi incelemesi olan bir güvenlik kararı olarak ele alın, henüz bir kimliğe atfetmediğiniz bir ileti için düzeltme olarak değil.