Active Directory ve LDAP sorunları
Başarısız olan dizin oturum açmaları, tamamlanmayan bir bağlanma ve yanlış kişileri ya da hiç kimseyi içe aktaran eşitleme kapsamları.
- Sürüm: 0.4
- Rol: admin_user
- Tür: sorun giderme
Dizin tümleşmesi, her şeyden önce birbirinden ayrılması gereken iki noktada bozulur: bağlanma (cihaz dizinle konuşabiliyor mu?) ve eşitleme kapsamı (doğru kişileri doğru gruba aktarıyor mu?). Bir oturum açma reddi bunların birinden, ikisinden ya da hiçbirinden kaynaklanabilir.
Note
Dizine erişilemezken yerel hesaplar çalışmaya devam eder; içerik politikası ve uygulama bundan etkilenmez — hiçbir zaman dizine başvurmazlar. Duran şey dizin üzerinden oturum açma ile grup üyeliği güncellemeleridir; bunlar son eşitlenen durumda donar.
Belirtinizi bulun
| Gördüğünüz | Çalışma kitabı |
|---|---|
| Bir kullanıcı oturum açamıyor ve hesabın yerel mi dizin hesabı mı olduğunu henüz bilmiyorsunuz | Bir kullanıcı oturum açamıyor |
| AD/LDAP sayfasındaki bağlantı testi başarısız oluyor | Dizine erişilemiyor ya da bağlanılamıyor |
| Oturum açma, dizinin geçici olarak kullanılamadığını söylüyor | Dizine erişilemiyor ya da bağlanılamıyor |
| Bir eşitleme kapsamı çalışmıyor ya da artık var olmayan bir grubu gösteriyor | Eşitleme kapsamı çalışmıyor |
| Eşitleme bazı kişileri içe aktardı ama hiç kimseyi çıkarmadı | Eşitleme kapsamı çalışmıyor |
| Bir kiracı grubunun silinmesi, onu hedefleyen bir kapsam olduğu için reddediliyor | Eşitleme kapsamı çalışmıyor |
| Her ağ geçidi yeniden başlatmasında herkesin oturumu kapanıyor | Belirteç imzalama gizli anahtarı yer tutucu |
Oturum açma
Bir kullanıcı oturum açamıyor
Dört ret bilinçli olarak birbirinden ayırt edilebilir tutulur — yanlış kimlik bilgileri, pasif bir hesap, dizin tarafından yönetilen bir hesap ve erişilemeyen bir dizin — çünkü her biri için farklı bir kişinin harekete geçmesi gerekir.
Bir kullanıcı panoda oturum açamıyor
Şunları görebilirsiniz: Invalid credentials (kimlik bilgileri geçersiz) · Account is inactive (hesap pasif) · Account not found (hesap bulunamadı) · User not found (kullanıcı bulunamadı)
Başlamadan önce
Denetimler
- 1
Bu hesabın yerel mi olduğunu yoksa dizinden mi geldiğini belirleyin
beklenen · İkisinden hangisi olduğunu söyleyebiliyorsunuz.
- 2
Dizin hesapları için dizinin yanıt verdiğini denetleyin
beklenen · Dizin testi başarılı oluyor.
- 3
Hesabın etkin olup olmadığını okuyun
beklenen · Hesap etkin.
- 4
Oturum açıp hemen ardından oturumu kapatılan bir kullanıcı için token imzalama gizli anahtarını denetleyin
tanılama · posture.jwtSecretPlaceholder = false
Nedenler ve düzeltmeler
| Ne zaman ulaşılır | Neden | Açıklama, düzeltme ve doğrulama |
|---|---|---|
| denetim 1 başarısız olduğunda | wrong-authority (bilgi) | Yerel hesaplar ile dizin hesapları farklı yerlerde başarısız olur. Bir dizin hesabının parolası Active Directory'de durur; ağ geçidi onu hiçbir zaman saklamaz ve değiştiremez, dolayısıyla burada denenen bir parola sıfırlama sessizce yok sayılmak yerine reddedilir. Düzeltme: Bir dizin hesabının parolasını dizinde sıfırlayın. Yerel bir hesabın parolasını Kiracılar sayfasından sıfırlayın; bu, yapılandırılmış mekanizmayla iletilen bir sıfırlama bağlantısı üretir. Doğrulama: beklenen · Oturum açma başarılı oluyor. |
| denetim 2 başarısız olduğunda | directory-unreachable (kritik) | Dizine erişilemediğinde ağ geçidi yanlış parola bildirmek yerine bunu açıkça söyler; çünkü ikisi karşıt yanıtlar ister. Yerel hesaplar bu süre boyunca çalışmayı sürdürür — içerik politikası ve uygulama hiçbir zaman dizine başvurmaz. Düzeltme: Dizine erişilemiyor ya da bağlanılamıyor yolunu izleyin. Doğrulama: beklenen · Test başarılı oluyor ve kullanıcı oturum açıyor. |
| denetim 3 başarısız olduğunda | account-inactive (uyarı) | Pasif bir hesap, oturum açarken ayrı bir iletiyle reddedilir. Pasife alma, bir hesabın kendisine atfedilmiş tespitler ve oturumlar silinmeden emekliye ayrılma biçimidir. Düzeltme: Hesabı Kiracılar altında yeniden etkinleştirin ya da kullanıcıyı kullanması gereken hesaba yönlendirin. Doğrulama: beklenen · Oturum açma başarılı oluyor. |
| denetim 4 başarısız olduğunda | jwt-secret-unstable (kritik) | Token'lar JWT_SECRET ile imzalanır. Tanımsızken ağ geçidi her açılışta geçici bir gizli anahtar türetir, dolayısıyla her yeniden başlatma her oturumu geçersiz kılar; bilinen bir yer tutucu değer ise daha da kötüdür, çünkü kaynağa erişebilen herkes yönetici token'ı üretebilir.Düzeltme: Token imzalama gizli anahtarı bir yer tutucu yolunu izleyin. Doğrulama: tanılama · posture.jwtSecretPlaceholder = false Bu geçerli değilse: Destek paketini ekleyin. Kullanıcının yerel mi yoksa dizin tarafından mı yönetildiğini ve gösterilen tam iletiyi belirtin — yukarıdaki dört ret bilinçli olarak birbirinden ayırt edilebilir tutulur. |
Bağlanma
Dizine erişilemiyor ya da bağlanılamıyor
URL, bind DN ve base DN'in üçü birden dolu olmadıkça ağ geçidi bağlanmayı denemez; bu yüzden boş
bir alan anında hata verir ve tıpkı yanlış bir parola gibi görünür. Diğer iki ret ise arıza değil,
birer güvenlik özelliğidir: bind parolası önce şifreli depodan, sonra LDAP_BIND_PASSWORD_FILE,
sonra LDAP_BIND_PASSWORD üzerinden çözümlenir; ve saklanan parola yalnızca kaydedildiği ana
gönderilir, bu nedenle farklı bir URL'yi test etmek parolanın yeniden yazılmasını gerektirir.
Note
Saklanan bind parolası, JWT_SECRET değerinden türetilen bir anahtarla şifrelenir. Bu gizli
anahtarı değiştirmek saklanan parolayı geçersiz kılar ve parolanın yeniden girilmesi gerekir —
gizli anahtar ilgisiz bir nedenle döndürülürken bu kolayca gözden kaçar.
Dizine erişilemiyor ya da bağlanılamıyor
Şunları görebilirsiniz: LDAP url, bind DN and base DN must be configured (LDAP URL'si, bind DN ve base DN'in üçü de yapılandırılmalı) · LDAP bind password file unreadable (bind parola dosyası okunamıyor) · Directory authentication is unavailable (dizin kimlik doğrulaması kullanılamıyor) · The directory server could not be reached, so directory sign-in is temporarily unavailable. (dizin sunucusuna erişilemedi, bu nedenle dizin üzerinden oturum açma geçici olarak kullanılamıyor)
Başlamadan önce
Denetimler
- 1
Bağlantının denenemeyeceği üç alanı okuyun
beklenen · Üçü de boş değil.
- 2
Bind parolasının nereden geldiğini denetleyin
beklenen · Üçünden biri, dizinin kabul ettiği bir parolaya çözümleniyor.
- 3
Az önce yazdığınız bir URL'yi test ediyorsanız, parolayı da yeniden girip girmediğinize bakın
beklenen · Ya URL değişmemiş, ya da bind parolasını test formuna yazdınız.
- 4
Dizin sunucusunun cihazdan yanıt verdiğini denetleyin
beklenen · Port yanıt veriyor ve LDAPS için sertifika zinciri doğrulanıyor.
Nedenler ve düzeltmeler
| Ne zaman ulaşılır | Neden | Açıklama, düzeltme ve doğrulama |
|---|---|---|
| denetim 1 başarısız olduğunda | incomplete-config (uyarı) | Ağ geçidi ne bir base DN tahmin eder ne de anonim bağlanır. URL, bind DN ya da base DN'den biri eksik olan kayıtlı bir yapılandırma doğrulamada reddedilir; hata bu yüzden anında ve yanlış bir parolayla tıpatıp aynı biçimde görünür. Düzeltme: Ayarlar → Active Directory / LDAP sayfasında üçünü de doldurup kaydedin, ardından bağlantı testini çalıştırın. Bkz. AD / LDAP. Doğrulama: beklenen · Test başarılı oluyor. |
| denetim 2 başarısız olduğunda | bind-password-unreadable (kritik) | Parola bağlanmış bir gizli dosyadan geliyorsa, ağ geçidi onu bağlanma anında okur. Kapsayıcının okuyamadığı bir dosya, yanlış parola hatası yerine açıkça "okunamıyor" reddi üretir — ikisi farklı çözüm ister. Düzeltme: Bağlama noktasını ve dosyanın izinlerini ağ geçidi kapsayıcısı okuyabilecek biçimde düzeltin, ya da parolayı bunun yerine panodan saklayın. Saklanan parola JWT_SECRET değerinden türetilen bir anahtarla şifrelenir; bu gizli anahtarı değiştirmek parolayı geçersiz kılar ve parolanın yeniden girilmesi gerekir.Doğrulama: beklenen · Test başarılı oluyor. |
| denetim 3 başarısız olduğunda | password-not-sent-to-new-url (bilgi) | Kayıtlı bind parolası yalnızca yazılabilir ve yalnızca kaydedildiği ana gönderilir. Farklı bir URL'yi parolayı yeniden yazmadan test etmek, saklanan gizli değeri az önce adını verdiğiniz bir ana makineye teslim ederdi; ağ geçidi bu yüzden reddeder. Düzeltme: Bind parolasını yeni URL'nin yanına, test formuna yazın. Doğrulama: beklenen · Test başarılı oluyor. |
| denetim 4 başarısız olduğunda | directory-not-reachable (kritik) | Dizine erişilemediği sürece dizin üzerinden oturum açma başarısız olur ve grup üyeliği son eşitlenen durumda donar. Yerel hesaplar çalışmaya devam eder; içerik politikası ve uygulama bundan etkilenmez — hiçbir zaman dizine başvurmazlar. Düzeltme: Cihazdan etki alanı denetleyicisine giden yolu açın, ya da URL'yi bu alt ağdan erişilebilen bir denetleyiciye yöneltin. LDAPS için, el sıkışmanın tamamlanabilmesi adına sertifikayı veren CA'yı cihaza kurun. Doğrulama: beklenen · İkisi de başarılı oluyor. Bu geçerli değilse: Destek paketini ve testin verdiği tam iletiyi ekleyin. URL'nin ldap:// mi ldaps:// mi olduğunu ve hangi denetleyicinin adını verdiğini belirtin. |
Eşitleme kapsamları
Eşitleme kapsamı çalışmıyor
Bir kapsam, bir dizin grubunu bir CID kiracı grubuna eşler ve bir rol atar. Üç reddi koruyucudur: silinmiş bir hedef grup, bir dizin kapsamından hiç verilemeyecek bir rol ve sorgunun yalnızca bir kısmını yanıtlayan bir dizin.
Kısmi yanıt durumunda eşitleme gördüğünü içe aktarır ve günceller, kimseyi çıkarmaz — eksik veriye dayanarak çıkarmak, yalnızca kayıtları döndürülmemiş kişilerin yetkilerini kaldırırdı.
Dizin eşitleme kapsamı çalışmıyor ya da yanlış kişileri içe aktarıyor
Şunları görebilirsiniz: Sync scope not found (eşitleme kapsamı bulunamadı) · This sync scope is disabled. Re-enable it before syncing. (bu eşitleme kapsamı pasif; eşitlemeden önce yeniden etkinleştirin) · Sync scope is mapped to a CID tenant group that no longer exists (kapsam, artık var olmayan bir CID kiracı grubuna eşlenmiş) · Sync scope would assign a role which cannot be granted from a directory scope (kapsam, bir dizin kapsamından verilemeyecek bir rol atayacaktı)
Başlamadan önce
Denetimler
- 1
Her şeyden önce kapsamın durumunu okuyun
beklenen · Kapsam etkin.
- 2
Kapsamın eşlendiği CID kiracı grubunu denetleyin
beklenen · Hedef grup var.
- 3
Kapsamın atadığı rolü okuyun
beklenen · Rol, iletinin izin verilen olarak saydığı roller arasında.
- 4
Son çalışmanın sonuç sayılarını okuyun
beklenen · Çalışma kısmi yanıt bildirmek yerine tamamlandı.
Nedenler ve düzeltmeler
| Ne zaman ulaşılır | Neden | Açıklama, düzeltme ve doğrulama |
|---|---|---|
| denetim 1 başarısız olduğunda | scope-disabled (bilgi) | Pasif bir kapsam çalıştırılıp başarısız olmaz, atlanır; dolayısıyla üyelik yalnızca değişmeyi bırakır. Üründe hiçbir şey bozulmaz; ürün yalnızca dizini izlemeyi durdurur. Düzeltme: Kapsamı yeniden etkinleştirin, ardından bir kez elle çalıştırıp sayıları okuyun. Doğrulama: beklenen · Kapsam tamamlanıyor ve sayıları bildiriyor. |
| denetim 2 başarısız olduğunda | target-group-deleted (uyarı) | Kapsam, bir CID kiracı grubunu kimliğiyle adlandırır. O grubun silinmesi kapsamı hiçbir şeyi göstermez durumda bırakır ve eşitleme, yerine bir grup oluşturup kimin neyi görebileceğini sessizce değiştirmektense reddeder. Bir eşitleme hedefi olan grubun silinmesi de aynı nedenle reddedilir. Düzeltme: Kapsamı var olan bir gruba yeniden yönlendirin ya da eşlemeyi temizleyin, ardından yeniden eşitleyin. Bkz. Kiracı Grupları. Doğrulama: beklenen · Kapsam, eksik bir grubun adını vermeden tamamlanıyor. |
| denetim 3 başarısız olduğunda | role-not-grantable (uyarı) | Bir dizin grubu, yetkilendirme kararı değil yetkilendirme girdisidir. Cihazın kendisini yöneten roller AD'de bir grup düzenlenerek dağıtılamaz; bu nedenle kapsam, rolü sessizce düşürmek yerine kaydedilirken reddedilir. Düzeltme: Kapsamın rolünü, ret iletisinin sıraladığı rollerden birine ayarlayın; diğerlerini CID içinde doğrudan verin. Doğrulama: beklenen · Kapsam kaydediliyor. |
| denetim 4 başarısız olduğunda | partial-directory-answer (uyarı) | Dizin bir sorgunun yalnızca bir kısmını yanıtladığında eşitleme gördüğünü içe aktarır ve günceller, hiç kimseyi çıkarmaz. Kısmi bir yanıta dayanarak çıkarmak, yalnızca kayıtları döndürülmemiş kişilerin yetkilerini kaldırırdı; bu da üyeliği eski bırakmaktan kötüdür. Düzeltme: Dizin tarafındaki sınırı giderin — bu genellikle aramaya konulmuş sunucu tarafı bir boyut ya da süre sınırıdır veya denetleyicinin sayfalayabileceğinden geniş bir base DN'dir — ardından kapsamı yeniden çalıştırın. Doğrulama: beklenen · Çalışma, kısmi yanıt uyarısı vermeden tamamlanıyor. Bu geçerli değilse: Destek paketini, kapsamın base DN'ini, filtresini ve bildirilen sayıları ekleyin. |
Belgelerin size söyleyemeyeceği
- Bağlanmayı dizinin kendisinin mi reddettiği yoksa ağın mı düşürdüğü. Ağ geçidi her iki durumda da başarısız bir bağlantı görür. Etki alanı denetleyicisinin kendi günlüklerinden doğrulayın.
- Bir boyut ya da süre sınırının aramayı kesip kesmediği. Kısmi yanıt yolu tespit edilir ama buna yol açan sınır dizin sunucusundadır.
İlgili
- AD / LDAP ayarları — bağlantının ve kapsamların yapılandırılması.
- Kiracı Grupları — bir eşitleme kapsamının yazdığı yer.
- Erişim Denetimi — bir dizin kapsamının hangi rolleri verebileceği.
Son güncelleme