能，但必须分层打通NSS、PAM和服务链路；NSS层确保系统“看见”用户（getent验证），PAM层准确验证密码与账户状态（auth/account段缺一不可），session层支持家目录创建与sudo权限联动，任一层缺失均导致登录失败。
能，但必须分层打通 NSS、PAM 和服务链路，缺一不可；只改 /etc/nsswitch.conf 或只装 pam_ldap.so，90% 会卡在“用户看不见”或“密码对却登不上”——问题通常不出在 LDAP 服务器，而卡在系统如何查、如何验、如何善待远程用户。
getent passwd 没输出？NSS 层根本没通
这是最常见也最容易被误判的第一道坎。没有输出，说明系统连 LDAP 用户都查不到，后续所有认证流程都不会触发。
-
nslcd服务必须运行：systemctl status nslcd；若报bind failed，重点检查/etc/nslcd.conf： -
uri必须是ldap://your-ldap-server/（不能带端口如:389，更不能是http://） -
base必须是dc=example,dc=com这种格式，不能含ou=People或路径片段 -
bindpw是明文密码，需与slappasswd -s your_admin_password输出的原始密码一致（不是加密串） - 验证是否通：执行
getent passwd testuser；无输出则用ldapsearch -x -H ldap://your-ldap-server -b "dc=example,dc=com" "(uid=testuser)"手动测连通性与搜索权限
密码正确却拒绝登录？PAM 的 account 段缺失
PAM 不只校验密码，还决定账户启用状态。漏掉 account 段，PAM 就认为“账户状态未知”，直接拦掉登录和 sudo。
- 在
/etc/pam.d/system-auth（RHEL/CentOS）或/etc/pam.d/common-account（Debian/Ubuntu）中必须有： -
auth [success=done default=ignore] pam_ldap.so use_first_pass—— 位置必须在pam_unix.so之前，否则永远走本地校验 -
account [default=bad success=ok user_unknown=ignore] pam_ldap.so—— 缺这行，“密码对但登不上”是必然结果 - 部分发行版用
authselect管理 PAM 配置，不能直接改文件，得执行：authselect select sssd --force或手动应用 profile - 确认没有被注释，且没有重复加载导致逻辑冲突（例如同时存在
pam_ldap.so和pam_succeed_if.so对同一字段的多重判断）
登录成功但没家目录、sudo 失效？session 和 sudoers 没联动
LDAP 用户登录成功 ≠ 可用。家目录不创建、sudo 权限不生效，本质是 PAM session 段没调用 pam_mkhomedir.so，或 /etc/sudoers 没显式授权。
- 自动创建家目录依赖
session段显式调用：session optional pam_mkhomedir.so umask=0022 skel=/etc/skel - 仅运行
authconfig --enablemkhomedir而不配这行，等于没开开关 -
sudo权限不会继承：要么在/etc/sudoers中加%ldapgroup ALL=(ALL) NOPASSWD: ALL（前提是 LDAP 中该组已存在），要么用sudoRole对象类配合 SSSD 实现动态策略 - 注意 UID/GID 映射一致性：确保 LDAP 中用户 UID 不与本地用户冲突，尤其避免覆盖
root（UID 0）或nobody（UID 65534）
真正难的不是写配置，而是理解每一层的作用边界：NSS 负责“看见”，PAM 负责“信任”，session 和策略负责“善待”。漏掉任意一层，用户就会卡在某个看似莫名其妙的环节——比如 ssh 登录后立刻断开，其实是 pam_mkhomedir.so 创建失败但没日志；又比如 sudo 提示“user is not in the sudoers file”，其实是因为 account 段没让 PAM 知道这个用户属于哪个组。
