centos7使用AD域实现账号统一认证

2019-11-21 02:29:14 1.1k 阅读 AI 写同款 · GEO 优化AI 选题数据监测一键分发 ›

CentOS7加入AD域（winbind） AD域（Active Directory）是Windows服务器的活动目录，在目录中可以收录公司的电脑账号，用户账号，组等信息，以提供更好的安全性和更便捷的管理能力。域的最大好处之一就是其安全性 – 所有账号不会在本地计算机认证，而是连接到域控制器寻求认证。CentOS7加入AD域的方法很多，常用的有winbind和realm两种。winbind是一种成熟的方案，兼容多种操作系统版本，但配置步骤繁琐复杂，且易出错。阅读详情

背景是公司的linux主机越来越多，想把账号统一管理
公司有现成的windows域
在网上查了一些资料，理论上应该可以实现。
配置方法参考的自
https://www.jianshu.com/p/af295531eaf6

启动正常没有报错
但就是查不到用户

通过ldapsearch命令可以正常查询到用户列表
ldapsearch -H "ldap://192.168.1.16:389" -D "cn=ldap,cn=users,dc=test,dc=com" -w 'abcd1234' -b "cn=users,DC=test,DC=com" -x| grep sAMAccountName| wc -l
28

getent passwd 命令
debug信息如下

nslcd: [334873] <passwd(all)> DEBUG: myldap_search(base="dc=test,dc=com", filter="(objectClass=posixAccount)")
nslcd: [334873] <passwd(all)> DEBUG: ldap_initialize(ldap://192.168.1.16/)
nslcd: [334873] <passwd(all)> DEBUG: ldap_set_rebind_proc()
nslcd: [334873] <passwd(all)> DEBUG: ldap_set_option(LDAP_OPT_PROTOCOL_VERSION,3)
nslcd: [334873] <passwd(all)> DEBUG: ldap_set_option(LDAP_OPT_DEREF,0)
nslcd: [334873] <passwd(all)> DEBUG: ldap_set_option(LDAP_OPT_TIMELIMIT,0)
nslcd: [334873] <passwd(all)> DEBUG: ldap_set_option(LDAP_OPT_TIMEOUT,0)
nslcd: [334873] <passwd(all)> DEBUG: ldap_set_option(LDAP_OPT_NETWORK_TIMEOUT,0)
nslcd: [334873] <passwd(all)> DEBUG: ldap_set_option(LDAP_OPT_REFERRALS,LDAP_OPT_ON)
nslcd: [334873] <passwd(all)> DEBUG: ldap_set_option(LDAP_OPT_RESTART,LDAP_OPT_ON)
nslcd: [334873] <passwd(all)> DEBUG: ldap_simple_bind_s("cn=ldap,cn=users,dc=test,dc=com","***") (uri="ldap://192.168.1.16/")
nslcd: [334873] <passwd(all)> DEBUG: ldap_result(): end of results (0 total)

也就是返回结果是0条记录

配置文件
cat /etc/nslcd.conf | grep -v ^# | grep -v "^$"
uid nslcd
gid ldap
uri ldap://192.168.1.16/
base dc=test,dc=com
binddn cn=ldap,cn=users,dc=test,dc=com
bindpw abcd1234
ssl no
tls_cacertdir /etc/openldap/cacerts

...全文