Bu LDAP parol xatosi foydalanuvchining paroli bo'lmasligi mumkin
bind xatosi xizmat hisobidan yoki qidiruv doirasidan kelishi mumkin, foydalanuvchidan emas. Birovning parolini tiklashdan oldin bind'larni ajrating.
Jurnal faqat bind rad etilganini aytganda foydalanuvchining parolini tiklash noto'g'ri birinchi qadamdir. Katalog plaginida bitta kirishda bir nechta bind bo'ladi va rad etish qidiruvni bajaradigan xizmat hisobiga tegishli bo'lishi mumkin. Bu holatda foydalanuvchi hisob ma'lumotlarini tiklash hech narsani o'zgartirmaydi. U hech qachon muammo bo'lmagan odamni ham bloklaydi.
Bitta kirish, bir nechta bind
Alohida katalog hisobiga ega konfiguratsiya odatda ketma-ket to'rt qadamni bajaradi va ularning har biri kirishni tugatishi mumkin.
connect to the directory and establish the configured TLS protection
bind as the configured service account
search for the user entry using the search base and filter
open a second connection and bind as that user, then evaluate groupsPlagin foydalanuvchini autentifikatsiya qilish ulanishini birinchi ulanishni boshqaradigan o'sha yordamchi orqali quradi, shuning uchun bu yordamchi ulanish paytida, TLS muzokaralari paytida yoki xizmat hisobi sifatida bind paytida muvaffaqiyatsiz bo'lishi mumkin. Parol haqidagi yuqori darajadagi xabar keyinroq yaratiladi va qaysi identifikatsiya ishtirok etganini o'zida olib yurmaydi. Shuning uchun faqat xato matni foydalanuvchi yoki xizmat hisobi rad etilganini ayta olmaydi.
Xabardan oldingi qatorlarni o'qing va nosozlik sodir bo'lgan lahzani qayd eting. Ishga tushishda, hech qanday foydalanuvchi kelmasdan oldin rad etish sozlangan hisob yoki oxirgi nuqtaga ishora qiladi. Muvaffaqiyatli qidiruvdan keyin faqat bir kishiga ko'rinadigan rad etish o'sha kishining yozuvi yoki hisobi holatiga ishora qiladi.
Xatoni identifikatsiya bilan bog'lang
Amaliy qoida uch narsani birga yozib qo'yishdir: qachon muvaffaqiyatsiz bo'ldi, qaysi amal bajarilayotgan edi va qaysi identifikatsiya taqdim etildi. Bu uchliksiz, faqat oxirgi gapni saqlaydigan jurnalda ikki juda boshqacha nosozlik bir xil ko'rinadi.
| What the log shows | Identity likely refused | First thing to check |
|---|---|---|
| Failure at start-up, no user yet | Service account | DN, password, expiry, lockout |
| Search returns nothing | None, the search scope is wrong | Search base and filter |
| Failure only for one user | That user's entry | Entry state, bind DN, group rules |
Agar sozlangan hisob muvaffaqiyatsiz bo'lsa, har qanday foydalanuvchi yozuviga tegishdan oldin o'sha hisob va ulanishni tekshiring. Agar muvaffaqiyatli qidiruvdan keyin foydalanuvchi bind'i muvaffaqiyatsiz bo'lsa, qidiruv qaytargan yozuvni tekshiring, qaytaradi deb o'ylagan yozuvni emas. Ikki yo'l faqat bitta xabarni bo'lishadi. Qaysi birini istisno qilganingizni yozing, chunki keyingi odam aynan shuni so'raydi.
Farqlovchi nom - ma'lumot, taxmin emas
Nom komponentini notanish ko'ringani uchun o'zgartirish ishlaydigan konfiguratsiyani buzishning keng tarqalgan usulidir. Active Directory'da foydalanuvchi obyektlarining standart joyi Users nomli konteyner, konteyner esa o'xshash nomli tashkiliy birlik bilan bir xil turdagi obyekt emas.
Katalog administratoridan hisobning haqiqiy farqlovchi nomini so'rang yoki uni obyektning o'zidan o'qing. Quyidagi ikkalasi ham o'z katalogida to'g'ri bo'lishi mumkin, shuning uchun hech biri xotiradan terilmasligi kerak.
CN=VPN Bind,CN=Users,DC=corp,DC=example
CN=VPN Bind,OU=Service Accounts,DC=corp,DC=exampleKo'chirish yoki qayta nomlash bu qiymatni o'zgartiradi, hisob va parol esa amalda qoladi, shuning uchun o'tgan chorakda ishlagan konfiguratsiya bu chorakda hech kim hisob ma'lumotlariga tegmasdan muvaffaqiyatsiz bo'lishi mumkin. Har qanday qayta tashkil etishdan keyin sozlangan satrni katalogning joriy atributi bilan solishtiring. Sokin migratsiyadan keyin ham buni qiling, faqat xabar qilingan uzilishdan keyin emas.
Qidiruv asosi xizmat hisobi emas
bind identifikatsiyasi va qidiruv asosi turli savollarga javob beradi: plagin kim sifatida autentifikatsiya qiladi va odamlarni qayerdan qidiradi. Muvaffaqiyatli bind'dan keyin mos keladigan foydalanuvchi yo'qligi doira, filtr yoki o'qish ruxsati muammosi, hisobning farqlovchi nomini foydalanuvchilar asosi bilan almashtirish esa bunga hech narsani o'zgartirmaydi.
Xizmat siz tahrirlagan konfiguratsiyani yuklaganini va uning oxirgi nuqtasi, TLS ishonchi va autentifikatsiya rejimi ishlaydigan ma'muriy testga mos kelishini tasdiqlang. Boshqa hisob bilan yoki boshqa domen kontrolleriga qarshi qo'lda qidiruv teng kuchli tajriba emas.
Saqlangan sirni tekshiring va hisob yoqilganmi, muddati o'tganmi yoki bloklanganmi ekanini parolni hech qayerda chop etmasdan tekshiring. Muddati o'tishini o'tkazib yuborish oson, chunki hisob ishlamay qolgan kungacha ishlayveradi. Aloqasi bo'lmagan xizmatdan meros qolgan bloklash ham xuddi shunday jim. Bu ikki holatning hech biri xizmat hisobini nomlaydigan xabar yaratmaydi.
Guruh qoidalari eng oxirida keladi
Ruxsat bind'lar muvaffaqiyatli bo'lgandan keyin ishlaydi, shuning uchun guruh tekshiruvi bind muvaffaqiyatsizligining sababi bo'la olmaydi va guruh talabini olib tashlash uni tuzata olmaydi. Agar kirish endi guruh bosqichiga yetsa, qolgan muammo a'zolik, hisob ma'lumotlari emas.
Xato yo'qolishi uchun xizmat hisobiga keng katalog huquqlarini berish butun joylashtirishning kirish siyosatini o'zgartiradi. Buni o'z ko'rib chiqishi bilan xavfsizlik qarori sifatida qabul qiling, hali identifikatsiyaga bog'lamagan xabar uchun tuzatish sifatida emas.