#lotus-notes #lotus-domino
#lotus-notes #lotus-domino
Вопрос:
У наших администраторов используется поддержка каталогов, и в этом у них есть запись LDAP. Время от времени пользователи получают HTTP 403 Запрещенный, и для решения этой проблемы наша команда безопасности запускает инструмент, который переупорядочивает записи DN, как показано в NAB. Нам еще предстоит выяснить, почему порядок записей DN в каталоге LDAP вызывает эту ошибку.
Есть идеи?
Комментарии:
1. Получают ли эти пользователи 403 при доступе к приложению, которое обслуживается http-задачей Domino, но сервер Domino использует какой-либо внешний сервер LDAP для аутентификации? Или они получают его из приложения на каком-то другом сервере, который использует LDAP Domino для аутентификации?
2. Сервер Domino использует какой-либо внешний сервер LDAP для аутентификации. Мы думаем, что возвращаемый атрибут не является NotesName, поэтому проверка подлинности завершается с ошибкой. У нас есть некоторые приложения на других серверах, обслуживаемые http-задачей Domino, которые не вызывают этой проблемы.
3. Существуют методы отладки, когда Domino является сервером LDAP, но не для случаев, когда Domino выступает в качестве клиента LDAP, AFAIK. Администраторы сервера LDAP должны просмотреть свои журналы, чтобы увидеть, какой запрос отправляет Domino, и выяснить, почему это приводит к сбою. Я видел случай, когда «временная» запись, которая была оставлена на сервере LDAP каким-то процессом синхронизации, имела тот же DN, что и пользовательская запись, и область поиска в каталоге не ограничивалась только поддеревом пользователя, что вызвало конфликт. Было бы диким совпадением, если бы это было так для вас.
4. Похоже, проблема возникает только тогда, когда ссылки http для баз данных нажимаются из другого специально созданного приложения, отличного от Domino, извлекают первый атрибут с сервера LDAP и используют его для аутентификации пользователя. К сожалению, запись в некоторых случаях не является именем NotesName, поэтому кажется, что это вызывает запрет. Я говорю это еще и потому, что, когда у нас есть атрибуты LDAP, исправленные так, чтобы первой записью было NotesName, все работает так, как должно.