slapd启动失败主因是slapd.d配置未正确初始化或权限错误：需停服务、清空旧配置、用slaptest -f生成新slapd.d并chown ldap:ldap，同时确保olcsuffix与olcrootdn格式规范且一致。
slapd服务启动失败：检查slapd.d初始化与权限
OpenLDAP 2.4+ 默认使用 cn=config 动态配置，直接改 slapd.conf 不生效。常见错误是启动时报 “ldap_add: Invalid syntax (21)” 或直接拒绝启动，本质是配置目录未正确生成或权限不对。
- 必须先停掉
slapd：systemctl stop slapd - 备份并清空原配置：
mv /etc/openldap/slapd.d /etc/openldap/slapd.d.bak - 用
slaptest -f /etc/openldap/slapd.conf -F /etc/openldap/slapd.d生成新结构（前提是slapd.conf存在且语法合法） - 关键一步：
chown -R ldap:ldap /etc/openldap/slapd.d，否则slapd进程读不到配置文件
olcSuffix 和 olcRootDN 配置错误导致 ldapsearch 返回 “No such object”
这是客户端连得上但查不到数据的最常见原因。不是网络不通，而是服务端没声明“我在哪儿管谁”。olcSuffix 必须和你后续所有 LDIF 导入、客户端查询的 Base DN 完全一致，且格式不能少 dc=。
- 编辑
/etc/openldap/slapd.d/cn=config/olcDatabase={2}hdb.ldif -
olcSuffix值应为完整域名形式，例如：olcSuffix: dc=example,dc=com（不是example.com或example） -
olcRootDN必须匹配olcSuffix，例如：olcRootDN: cn=admin,dc=example,dc=com - 修改后必须重启：
systemctl restart slapd，且用slaptest -u验证配置语法
nslcd.conf 中 uri 和 base 配置不一致引发 getent passwd 失败
客户端能 ping 通服务器，ldapsearch -x -H ldap://192.168.10.5 -b "dc=example,dc=com" 能返回结果，但 getent passwd 为空——问题几乎一定出在 /etc/nslcd.conf 的 uri 和 base 不匹配，或 binddn/bindpw 权限不足。
-
uri必须带协议和结尾斜杠：uri ldap://192.168.10.5/（漏斜杠会导致连接被重定向失败） -
base必须与服务端olcSuffix完全相同：base dc=example,dc=com - 若服务端启用 TLS，
uri应为ldaps://，且需配置tls_cacertfile指向 CA 证书路径 -
binddn必须有足够权限读取posixAccount和posixGroup条目，通常就是olcRootDN
PAM 加载 pam_ldap.so 后本地用户登录变慢或失败
加了 pam_ldap.so 后，连 root 都要等 10 秒才进系统，或者本地账户突然无法登录——说明 PAM 链路把 LDAP 查询当成了必选项，而没做 fallback 控制。
- 不要在
auth [default=bad]这类严格模式下加载pam_ldap.so - 推荐写法：
auth [success=done default=ignore] pam_ldap.so use_first_pass，表示 LDAP 成功就跳过后续模块，失败则忽略继续走本地认证 - 务必确认
/etc/pam.d/system-auth中该行位于pam_unix.so之前，否则本地密码校验会被跳过 - 如果只希望远程 SSH 使用 LDAP，就把该行加到
/etc/pam.d/sshd，而非全局system-auth
slaptest -u 和 getent passwd 这两个验证点。前者不通过，slapd 根本不会真正加载配置；后者不返回 LDAP 用户，后面所有 PAM/NSS 都是空转。别急着改 PAM，先让 getent 跑出来再说。
