新手配置Linux对接企业级LDAP认证的关键是打通NSS（查用户）、PAM（验密码）、session+sudo（建家目录、赋权限）三层链路；任一层缺失都会导致“查得到但登不了”“登得进但没家目录”或“密码对却sudo失败”。
新手配置Linux对接企业级LDAP认证，关键不在“装软件”，而在打通三层链路：系统能查到用户（NSS）、能验证密码（PAM）、登录后有环境和权限（session + sudo）。跳过任一层，都会出现“查得到但登不了”“登得进但没家目录”“密码对却sudo失败”这类典型问题。
第一步：确认客户端基础组件已安装并连得通LDAP服务器
先别急着改配置，确保底层通信正常：
- 安装必需包：CentOS/RHEL用 yum install -y openldap-clients nss-pam-ldapd；Ubuntu/Debian用 apt-get install -y ldap-utils libnss-ldapd libpam-ldapd
- 测试直连：运行 ldapsearch -x -H ldap://your-ldap-server -b "dc=example,dc=com" "(uid=testuser)" —— 能返回用户条目，说明网络、端口、base DN、匿名/简单绑定权限都OK
- 若报错“Connection refused”或“Invalid credentials”，先检查防火墙、LDAP服务是否运行、URI是否写成 http://（应为 ldap:// 或 ldaps://）
第二步：让系统“看见”LDAP用户（NSS层）
这一步决定 getent passwd testuser 是否有输出：
- 编辑 /etc/nslcd.conf：确保 uri 指向正确地址（如 ldap://192.168.10.5/），base 是标准域格式（如 dc=example,dc=com，不能带 ou=），binddn 和 bindpw 与LDAP管理员账号匹配
- 启动并守护 nslcd：systemctl start nslcd && systemctl enable nslcd；用 journalctl -u nslcd -f 看实时日志，排查 bind failed 或 timeout
- 修改 /etc/nsswitch.conf：在 passwd:、group:、shadow: 行末尾加上 ldap，顺序推荐 files ldap（优先本地，再查LDAP），避免覆盖 root
- 验证：getent passwd testuser 有输出即 NSS 成功
第三步：让系统“认得”LDAP用户密码（PAM层）
有输出 ≠ 能登录。PAM 配错，密码永远校验不过：
- 编辑 /etc/pam.d/system-auth（RHEL/CentOS）或 /etc/pam.d/common-auth（Debian/Ubuntu）
- 在 auth 段加一行：auth [success=done default=ignore] pam_ldap.so use_first_pass —— 必须放在 pam_unix.so 之后、其他 auth 模块之前，否则不生效
- 在 account 段加一行：account [default=bad success=ok user_unknown=ignore] pam_ldap.so —— 缺这行，即使密码对，PAM 也会因无法确认账户状态而拒绝登录
- 重启 sshd（如用 SSH 登录）：systemctl restart sshd；然后用 ssh testuser@localhost 测试——此时应提示输密码，且能成功登录（暂无家目录）
第四步：补全登录体验与权限（session + sudo）
登录成功只是起点，家目录、shell、sudo 才是日常刚需：
- 自动创建家目录：确认 /etc/pam.d/system-auth 的 session 段含：session optional pam_mkhomedir.so umask=0022 skel=/etc/skel —— authconfig --enablemkhomedir 或 authselect 命令只是开关，真正起作用的是这行 PAM 调用
- 赋予 sudo 权限：LDAP 用户默认无 sudo 权限。要么在 /etc/sudoers 中加 %ldapgroup ALL=(ALL) NOPASSWD: ALL（需先在 LDAP 中建好该组），要么在 LDAP 服务端用 sudoRole 对象类定义规则（需额外 schema 和客户端支持）
- 强制 TLS 加密（生产必需）：在 /etc/nslcd.conf 中启用 ssl start_tls 或 ssl on，并配置 CA 证书路径；同时确保 LDAP 服务端已启用 TLS，否则明文传输密码会触发安全告警甚至被拦截
