需完成LDAP连通性验证、OnlyOffice文档服务器local.json配置、Workspace管理后台集成设置、AD用户属性映射及LDAPS加密启用五步。首先测试ldapsearch与openssl连接，再配置bindDN、baseDN、过滤器等参数，接着在Web界面启用自动同步，确保AD中sAMAccountName、mail、displayName非空，最后部署证书并切换ldaps协议。
如果您在OnlyOffice私有化部署环境中希望用户通过企业域控（如Active Directory）统一认证并实现账号自动同步，则需完成LDAP协议层面的连接与属性映射配置。以下是具体实施步骤：
一、验证LDAP服务连通性与凭据有效性
确保OnlyOffice服务器可访问域控制器的LDAP端口（AD默认为389或LDAPS 636），且专用服务账号具备读取用户目录的权限。该步骤是后续所有配置生效的前提。
1、在OnlyOffice服务器执行测试命令，确认基础连接：
ldapsearch -x -H ldap://dc.example.com:389 -D "cn=onlyoffice,cn=Users,dc=example,dc=com" -W -b "dc=example,dc=com" "(objectClass=user)" dn
2、若使用LDAPS，需先验证SSL证书链完整性：
openssl s_client -connect dc.example.com:636 -showcerts
3、检查防火墙策略，确保OnlyOffice服务器出向TCP 389/636端口未被拦截，域控制器入向规则已放行。
二、配置OnlyOffice文档服务器的LDAP参数
通过修改/etc/onlyoffice/documentserver/local.json文件启用LDAP模块，明确指定绑定账户、搜索基准及用户过滤条件，使OnlyOffice能准确识别并加载域内有效用户。
1、备份原始配置文件：
cp /etc/onlyoffice/documentserver/local.json /etc/onlyoffice/documentserver/local.json.bak
2、编辑local.json，在"services"."CoAuthoring"."ldap"节点下填入以下内容：
{"enable": true, "url": "ldap://dc.example.com:389", "bindDN": "cn=onlyoffice,cn=Users,dc=example,dc=com", "bindPassword": "StrongPass123!", "baseDN": "dc=example,dc=com", "userFilter": "(objectClass=user)", "usernameAttribute": "sAMAccountName", "emailAttribute": "mail", "fullNameAttribute": "displayName"}
3、重启文档服务以加载新配置：
supervisorctl restart all
三、配置OnlyOffice Workspace的LDAP集成（适用于Workspace版本）
Workspace采用独立的管理后台进行身份源配置，需在Web界面中完成AD连接设置，并启用自动用户同步，避免手动创建账号。
1、使用管理员账号登录https://workspace.example.com/admin
2、进入【设置】→【用户管理】→【外部身份提供程序】，点击【添加LDAP】
3、填写如下关键字段：
服务器地址：ldap://dc.example.com
端口：389
Base DN：dc=example,dc=com
绑定DN：cn=onlyoffice,cn=Users,dc=example,dc=com
密码：输入对应服务账号密码
用户搜索过滤器：(objectClass=user)
登录名属性：sAMAccountName
构建并调试跨Office自动化流程，实现Word、Excel、PowerPoint之间的内容迁移，使用Open XML、VBA、python-docx、openpyxl、py...
4、点击【测试连接】确认绿色对勾出现后，勾选【启用自动同步】并保存。
四、调整Active Directory端用户属性映射
OnlyOffice依赖特定LDAP属性完成用户识别与信息填充，需确保AD中目标用户对象包含sAMAccountName、mail和displayName三项非空值，否则同步将失败或信息不全。
1、在Windows Server上打开Active Directory 用户和计算机管理工具
2、右键目标用户→【属性】→【属性编辑器】选项卡
3、确认以下字段已填写：
sAMAccountName：必须为唯一短用户名（如jdoe）
mail：格式为jdoe@example.com
displayName：建议设为“姓名+部门”，例如张三-研发部
4、如需批量修正，可使用PowerShell命令：
Get-ADUser -Filter * -SearchBase "ou=users,dc=example,dc=com" | Set-ADUser -Add @{"mail"="$_@example.com"}
五、启用LDAPS加密连接（增强安全性）
当传输敏感凭证时，明文LDAP存在风险，应强制启用SSL/TLS加密通道。此操作要求域控制器已正确部署并信任企业CA签发的证书。
1、在域控制器上导出LDAP服务证书（含私钥），转换为PEM格式并复制至OnlyOffice服务器的/etc/ssl/certs/目录
2、修改local.json中的LDAP URL为ldaps://dc.example.com:636，并添加证书路径参数：
"caCertPath": "/etc/ssl/certs/dc-cert.pem"
3、在OnlyOffice服务器执行证书信任链校验：
openssl verify -CAfile /etc/ssl/certs/dc-cert.pem /etc/ssl/certs/dc-cert.pem
4、重启supervisor服务并观察日志：
tail -f /var/log/onlyoffice/documentserver/converter/out.log | grep ldap
