如何安装配置 LDAP 身份认证服务实现统一账号管理-linux运维-PHP中文网

ldap统一账号管理需完成四层闭环：服务端动态配置初始化、分层目录结构建模、nss/pam客户端集成、tls加密与自动家目录创建，缺一不可。

如何安装配置 ldap 身份认证服务实现统一账号管理

要实现统一账号管理，LDAP 身份认证服务不是装完就可用，关键在四层闭环：服务端正确初始化、目录结构合理建模、客户端链路完整打通、安全策略落地生效。跳过任一环节，都会出现“查得到但登不了”“能登录但没家目录”等典型问题。

一、服务端安装与动态配置初始化

OpenLDAP 2.4+ 强制使用 slapd.d（LDIF 格式）动态配置，旧式 slapd.conf 仅作初始化模板。不走这步，服务启动后实际无数据库定义，ldapsearch 必报 No such object。

安装核心组件：yum -y install openldap-servers openldap-clients migrationtools cyrus-sasl（CentOS/RHEL）或 apt install slapd ldap-utils（Ubuntu/Debian）
生成管理员密文密码：slappasswd -s your_strong_password，记录输出的 {SSHA}xxx 字符串
停服务并初始化配置：
systemctl stop slapd
mv /etc/openldap/slapd.d /etc/openldap/slapd.d.bak
cp /usr/share/openldap-servers/slapd.conf.obsolete /etc/openldap/slapd.conf
编辑该文件，设 suffix "dc=example,dc=com" 和 rootdn "cn=admin,dc=example,dc=com"，将上一步密文填入 rootpw 行
生成并授权：slaptest -f /etc/openldap/slapd.conf -F /etc/openldap/slapd.d，再执行 chown -R ldap:ldap /etc/openldap/slapd.d

二、构建可扩展的目录结构

基础 DN（如 dc=example,dc=com）和组织单元（OU）设计直接影响后期权限划分与同步兼容性。避免用 ou=users 直接存用户，推荐分层建模：

PhotoG

一款AI图像与设计工具，主要用于PhotoG是全球首个内容营销端对端智能体，适合需要提升相关任务效率的用户。

下载

创建标准 LDIF 文件（如 base.ldif）：

dn: dc=example,dc=com
objectClass: top
objectClass: domain
dc: example

dn: ou=People,dc=example,dc=com
objectClass: organizationalUnit
ou: People

dn: ou=Groups,dc=example,dc=com
objectClass: organizationalUnit
ou: Groups

导入：ldapadd -x -D "cn=admin,dc=example,dc=com" -W -f base.ldif
添加测试用户时，务必使用 inetOrgPerson + posixAccount 复合对象类，确保 Linux 登录所需属性（uidNumber、gidNumber、homeDirectory、loginShell）齐全

三、Linux 客户端集成 NSS 与 PAM

客户端“看不见”用户，90% 是 NSS 层未通；“看得见却登不上”，大概率是 PAM 链路断裂。二者必须协同配置：

安装客户端模块：yum install nss-pam-ldapd 或 apt install libnss-ldapd libpam-ldapd
配置 /etc/nslcd.conf：
uri ldap://your-ldap-server/（注意结尾斜杠，不可写 http:// 或带端口）
base dc=example,dc=com（不能含 ou=）
binddn cn=admin,dc=example,dc=com
bindpw your_admin_password（明文，对应 slappasswd 原始密码）
修改 /etc/nsswitch.conf：
passwd: files ldap
group: files ldap
shadow: files
验证 NSS：getent passwd testuser 有输出即通；无输出则用 ldapsearch -x -H ldap://your-ldap-server -b "dc=example,dc=com" "(uid=testuser)" 排查网络或权限

四、启用 TLS 加密与自动家目录创建

生产环境严禁明文传输密码，且 LDAP 用户登录需自动生成家目录，否则会卡在 shell 启动阶段：

TLS 配置：
生成证书（可用 OpenSSL 或 Let’s Encrypt），将 cert.pem 和 key.pem 放入 /etc/openldap/certs/
在 slapd.d/cn=config.ldif 中添加 TLS 参数：
olcTLSCertificateFile: /etc/openldap/certs/cert.pem
olcTLSCertificateKeyFile: /etc/openldap/certs/key.pem
重启 slapd，客户端 URI 改为 ldaps:// 或 ldap:// + STARTTLS
PAM 自动建家目录：
确保 /etc/pam.d/common-session（Debian）或 /etc/pam.d/system-auth（RHEL）中包含：
session required pam_mkhomedir.so skel=/etc/skel umask=0022
同时确认 auth 段已加载 pam_ldap.so，且位置在 pam_unix.so 之前