Linux怎么配置LDAP认证_Linux如何接入统一身份认证【教程】-LINUX-PHP中文网

ldap认证需分层排查：先确保nss能查（/etc/nsswitch.conf含ldap且nslcd运行正常），再验证pam能验（pam配置中pam_ldap.so位置正确、account段不缺失），最后确认服务（如sshd）启用该流程，同时tls加密与家目录创建等细节不可忽略。

linux怎么配置ldap认证_linux如何接入统一身份认证【教程】

LDAP 认证不是“配完就能用”，而是要让系统真正信任并能查到远端目录里的用户——多数失败都卡在“查得到但认不了”或“认得了但没家目录/没权限”。

核心是三件事：让 nss 能查、让 pam 能验、让服务（比如 sshd）愿意走这套流程。

/etc/nsswitch.conf 中的 passwd: 和 group: 行必须包含 ldap，且顺序重要：files ldap 表示先查本地 /etc/passwd，查不到才问 LDAP；写成 ldap files 会导致本地 root 登录失败
nss-pam-ldapd（即 nslcd）必须运行，且配置文件 /etc/nslcd.conf 里 uri、base、binddn 和 bindpw 都得对——尤其注意 base 是 dc=example,dc=com 这种格式，不是 URL 或路径
测试是否“看见”：运行 getent passwd testuser。有输出说明 NSS 层通了；没输出，先检查 nslcd 日志（journalctl -u nslcd），再用 ldapsearch -x -H ldap://server -b "dc=example,dc=com" "(uid=testuser)" 手动验证连通性和搜索权限

PAM 不只是管“密码对不对”，还管“登录后该给什么 shell、home 目录在哪、能不能执行 sudo”。默认配置几乎从不兼容 LDAP 场景。

关键模块是 pam_ldap.so，不是 pam_unix.so —— 后者只认本地密码哈希；auth [success=ok default=ignore] pam_ldap.so use_first_pass 这行必须加在 /etc/pam.d/system-auth 或 common-auth 里，且位置要在 pam_unix.so 之前（否则永远走不到 LDAP）
account 段漏配会直接拒绝登录：必须加 account [default=bad success=ok user_unknown=ignore] pam_ldap.so，否则即使密码正确，PAM 也会因无法确认账户状态而拦住
sudo 权限不会自动继承——LDAP 用户想用 sudo，要么在 /etc/sudoers 里显式加 %ldapgroup ALL=(ALL) NOPASSWD: ALL，要么在 LDAP 服务器上用 sudoRole 对象类定义规则（需额外配置 sudoers schema 和 sssd 或 ldap sudo 支持）

authconfig --enablemkhomedir 或 authselect select sssd --force 确实能触发自动建家目录，但前提是 PAM 的 session 段真调用了它。

检查 /etc/pam.d/system-auth 是否含 session optional pam_mkhomedir.so umask=0022 skel=/etc/skel；缺这行，--enablemkhomedir 就是摆设
如果用的是 sssd（FreeIPA 或现代发行版推荐方案），则靠 override_homedir 和 create_homedir = True 控制，和 nslcd 完全无关——混用两种客户端是常见翻车点
家目录路径必须和 LDAP 中 homeDirectory 属性值一致；若 LDAP 里存的是 /home/testuser，但系统尝试建在 /users/testuser，就会失败且无明确报错

明文传 LDAP 密码 = 把所有用户口令裸奔在内网——哪怕你信得过交换机，也挡不住抓包、中间人或误配的镜像端口。

ldaps://（端口 636）或 StartTLS（端口 389）二选一，别用 ldap://；nslcd.conf 中必须设 ssl start_tls 或 ssl on，并指定 tls_cacertfile /etc/openldap/certs/ca.crt
证书主机名必须匹配 LDAP 服务器真实 FQDN；若用 IP 访问却配了域名证书，nslcd 会静默失败（日志里只有 “TLS initialization failed”）
OpenLDAP 服务端若未启用 olcSecurity 策略（如 simple_bind: require strong），客户端即使配了 TLS，服务端仍允许降级到明文——安全是两端的事，单边努力没用

LDAP 统一认证真正的难点不在命令敲得对不对，而在“哪一层断了”——NSS？PAM？TLS？还是服务本身没加载对应模块？排查时一定要分层验证，别一上来就重装 slapd。