ldap认证失败主因是ad域控连接参数错误，需依次验证url格式（协议/端口/fqdn合规）、bind dn与密码有效性、base dn及search filter配置、端口与ssl/tls一致性，并用ldp.exe或ldapsearch本地测试连通性。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在安装WorkBuddy时收到LDAP认证失败提示，则大概率是由于AD域控连接参数配置错误导致客户端无法完成绑定或查询。以下是解决此问题的步骤：
一、验证LDAP连接URL格式是否合规
LDAP连接URL必须严格匹配协议、端口与FQDN三要素，拼写错误或协议混用将直接导致连接中断或认证超时。未部署域控证书时严禁使用ldaps://协议，且URL中不可嵌入Base DN。
1、确认AD是否启用LDAPS：登录域控制器，检查443端口是否绑定有效证书；若未配置，必须使用ldap://前缀而非ldaps://。
2、使用FQDN替代NetBIOS名或IP地址：例如填写ldap://dc01.corp.example.com:389，禁止使用ldap://CORP或ldap://192.168.1.10:389。
3、确保URL末尾不带Base DN：删除类似/DC=corp,DC=example,DC=com的路径部分，该字段须在WorkBuddy独立配置项中单独填写。
二、检查Bind DN与密码的有效性
Bind DN若格式错误或权限不足，AD将拒绝绑定请求并返回LDAP error code 49（Invalid credentials）或Operations error。普通域用户默认无目录树读取权限，需专用服务账号。
1、确认Bind DN格式为完整UPN或DN：例如admin@corp.example.com或CN=Admin,CN=Users,DC=corp,DC=example,DC=com，不可仅填用户名admin。
2、新建专用服务账号：在AD中创建账号（如svc-workbuddy），勾选“Don't expire password”和“Account is sensitive and cannot be delegated”。
3、授予最小必要权限：在目标OU上右键→“委派控制”→添加该账号→赋予“读取所有属性”及“读取密码策略”权限。
4、避免密码特殊字符引发解析失败：初期测试请使用纯字母数字密码，排除@、/、:等未URL编码字符干扰。
三、校准Base DN与Search Filter配置
Base DN设置错误会导致连接与认证成功但同步无用户；Search Filter若未适配AD对象类定义，将无法匹配user对象，造成空结果集。
使用 draw.io（.drawio 格式）和 SVG 生成兼容 Microsoft Visio 的架构图。当用户需要以下任一场景时触发： - 用于 Visio 或技术文档的架构/系统/网络图 - 带连接标注的分层控制系统图 - 将 draw.io XML 转换为稳定、可嵌入的 SVG - 修复 Visio 或 draw.io 无法打开的故障排查类图表 - 任何需专业级布局且文本可编辑的图表
1、Base DN应指向实际存放用户的容器：若员工位于OU=Employees，则填写OU=Employees,DC=corp,DC=example,DC=com；全域搜索可设为DC=corp,DC=example,DC=com，但需注意GC性能限制。
2、Search Filter必须基于AD原生schema：标准值为(objectClass=user)(sAMAccountName=*)；若仅需启用账户，追加(userAccountControl:1.2.840.113556.1.4.803:=512)。
3、OU名称含逗号时须转义：例如OU=Dev\,Test,DC=corp,DC=example,DC=com，否则解析失败。
四、确认端口与SSL/TLS配置一致性
端口选择必须与协议及AD服务状态完全对应；若启用STARTTLS，第三方系统需明确支持该模式，否则握手失败。
1、明文LDAP使用389端口，LDAPS固定使用636端口；不可混用ldaps://与389端口或ldap://与636端口。
2、若使用LDAPS，必须将域控证书导入WorkBuddy运行主机的JVM或操作系统信任库；否则SSL握手终止，报错“PKIX path building failed”。
3、检查WorkBuddy是否支持STARTTLS：若支持，可保留389端口并在配置中启用STARTTLS选项，避免证书部署依赖。
五、使用工具本地验证AD连接链路
绕过WorkBuddy中间层，直接在部署服务器上执行底层连接测试，可快速定位网络、DNS、防火墙或AD策略阻断点。
1、Windows环境运行ldp.exe：输入域控制器FQDN与端口，点击“连接”；成功后在“绑定”页签输入Bind DN与密码，验证绑定状态。
2、Linux环境使用ldapsearch命令：执行ldapsearch -x -H ldap://dc01.corp.example.com:389 -D "CN=svc-workbuddy,CN=Users,DC=corp,DC=example,DC=com" -W -b "DC=corp,DC=example,DC=com" "(sAMAccountName=testuser)"，观察响应结果。
3、确认网络可达性：在WorkBuddy服务器执行telnet dc01.corp.example.com 389（或636），验证TCP连接是否建立；若失败，检查防火墙策略与路由通路。
