统信UOS需通过网络配置、SSSD部署与PAM绑定三步对接LDAP/AD域控：先设合规主机名、配置hosts与NTP同步；再安装sssd等组件，手动或用realmd加入域；最后运行authselect启用SSSD集成并重启lightdm。
你在统信UOS上无法使用企业已有的LDAP或Windows AD账号登录系统，说明本地身份认证尚未对接域控服务。必须完成网络基础配置、SSSD服务部署与PAM认证栈绑定三步，缺一不可。
配置系统网络与基础环境
确保UOS终端能稳定访问域控服务器是认证成功的前提，否则SSSD服务启动即失败或反复报“Connection refused”错误。
执行sudo hostnamectl set-hostname uos-client.example.com设置符合域名规范的主机名，避免因主机名解析异常导致Kerberos票据申请失败。
编辑/etc/hosts文件，在末尾添加域控服务器IP与FQDN映射，例如：192.168.10.5 ldap.example.com。这一步跳过会导致realm discover或ldapsearch命令无法解析域名。
运行sudo timedatectl set-ntp true启用NTP自动同步，并用timedatectl status确认系统时间与域控服务器偏差不超过5分钟——【时间不同步将直接拒绝所有LDAP/AD绑定请求】。
执行sudo apt update && sudo apt install -y sssd sssd-tools libnss-sss libpam-sss ldap-utils realmd samba-common-bin安装全部依赖组件。其中libnss-sss和libpam-sss未安装会导致用户信息无法被系统识别，即使SSSD运行正常也无法登录。
对接LDAP域控（非AD）
SSSD是UOS中承载LDAP身份查询、缓存与PAM集成的核心服务，其配置文件/etc/sssd/sssd.conf必须精确匹配LDAP服务器参数，否则连接建立后无法检索用户条目。
方法一：手动创建配置文件
第一步：备份原始配置：sudo cp /etc/sssd/sssd.conf /etc/sssd/sssd.conf.bak
第二步：用sudo tee /etc/sssd/sssd.conf写入以下内容（请严格替换方括号内参数）：
[sssd]
config_file_version = 2
services = nss, pam
domains = example.com
[domain/example.com]
id_provider = ldap
auth_provider = ldap
ldap_uri = ldaps://ldap.example.com/
ldap_search_base = dc=example,dc=com
ldap_id_use_start_tls = False
ldap_tls_certs = /etc/ssl/certs/ca.crt
ldap_default_bind_dn = cn=admin,dc=example,dc=com
ldap_default_authtok = your_admin_password
cache_credentials = True
default_shell = /bin/bash
fallback_homedir = /home/%u
第三步：设置配置文件权限为600：sudo chmod 600 /etc/sssd/sssd.conf。权限过高会触发SSSD启动拒绝，这是最容易被忽略的安全校验点。
第四步：启动并启用服务：sudo systemctl enable --now sssd。
加入Windows AD域（推荐realmd方式）
realmd是更高层的域管理工具，它会自动配置SSSD、Kerberos和Samba，比纯手工配置更可靠，尤其适合AD环境。
方法一：一键发现并加入域
执行sudo realm discover example.com验证DNS解析与域控可达性。若返回空或报错“no suitable service found”，说明DNS未指向AD域控或防火墙阻断了TCP 389/88端口。
执行sudo realm join --user=admin@example.com example.com，输入域管理员密码。该命令会自动生成/etc/sssd/sssd.conf和/etc/krb5.conf，并注册主机到AD DNS。
方法二：指定OU路径加入（适用于需归入特定组织单元的合规场景）
执行sudo realm join --user=admin@example.com --computer-ou="OU=LinuxWorkstations,DC=example,DC=com" example.com。不加此参数时，默认加入Domain Controllers以外的默认计算机容器，可能违反安全基线策略。
启用系统级域账号登录
仅配置SSSD或加入域还不够，必须将SSSD注入PAM认证链和NSS名称服务，否则getent passwd看不到域用户，lightdm也不认域账号。
第一步：启用NSS集成：sudo authselect select sssd --force。该命令会重写/etc/nsswitch.conf，确保passwd: files sss、group: files sss生效。
第二步：重启显示管理器：sudo systemctl restart lightdm。UOS桌面环境使用lightdm，不是gdm3或sddm，重启错误的服务不会生效。
第三步：测试域用户查询：getent passwd 'DOMAIN\username'或getent passwd username@EXAMPLE.COM。如无输出，说明SSSD未正确加载域配置或网络不通。
第四步：在登录界面选择“其他用户”，输入username@EXAMPLE.COM及密码。首次登录会自动创建家目录，【注意：家目录权限默认为700，且属主为域用户UID，非root】。
