LDAP/AD 认证随机错误

Question

我正在通过 JAAS 将应用程序与 AD/LDAP 身份验证集成在一起，虽然此界面在 90% 的情况下都可以正常工作，但有时我会在用户尝试登录时遇到技术错误。 日志中的错误如下：

INFO -[LdapLoginModule] user provider: ldaps://<AD server>:636/DC=global,DC=mycompany,DC=com
INFO -[LdapLoginModule] searching for entry belonging to user: <user name>
INFO -[LdapLoginModule] authentication failed
INFO -[LdapLoginModule] aborted authentication

启用其他日志时，我可以看到以下异常：

javax.security.auth.login.FailedLoginException: Cannot find user's LDAP entry

（这不是凭据问题 - 正如我解释的那样，它是随机发生的，如果用户尝试使用相同的凭据再登录几次，它最终会成功）
检查以下链接中的 LdapLoginModule.java 代码，我试图按照代码中的日志输出来了解发生这种情况的确切位置，但我无法准确理解“身份验证失败”输出的确切原因到达/抛出： LdapLoginModule.java

有人可以帮助我了解可能导致此随机问题的原因并指出正确的方向吗？会不会是 AD 端或 JAAS 配置的问题？

下面是一些附加信息：

• 启用 SSL
• “AD 服务器”不是域控制器，而是负载平衡的 DNS 方法
• 使用匿名绑定（搜索优先）模式

JAAS 配置：

LDAP_AD {
com.sun.security.auth.module.LdapLoginModule REQUIRED
userProvider="ldaps://<AD server>:636/DC=global,DC=mycompany,DC=com"
userFilter="(&(sAMAccountName={USERNAME})(objectcategory=user)(memberof=CN=aGroup,OU=Security Groups,OU=Groups,OU=Geneva,OU=Switzerland,OU=EMEA,DC=global,DC=mycompany,DC=com))"
useSSL=true
debug=true;
};

任何有关此问题根本原因的想法都将不胜感激。

非常感谢， 乔治

Answer 1

您注意到有一个负载平衡器，您的症状表明您正在将负载平衡到一个不同步的节点。这不太可能，但更有可能是 AD DC 对您的配置不满意，但其他人对此表示满意。

对于新用户或新更改的用户，复制延迟将是现实生活中此问题的常见示例。

在现有用户中，这似乎不太可能。

它也可能与 memberOf 属性有关，它不是静态属性，而是一个动态查询，当您查询它时会对其进行评估。