统信UOS实现LDAP/AD域单点登录（SSO）需基于SSSD与Kerberos协同：先完成域对接（主机名、hosts、NTP、sssd.conf、libnss-sss/libpam-sss安装及SSSD启用），确保sssctl domain-status显示Online: True；再确认sssd.conf中auth_provider = krb5且krb5_realm全大写正确；重启SSSD后用kinit获取票据并klist验证；最后通过authconfig --enablekrb5 --update或手动配置PAM使lightdm自动续订票据，登录后即可免密访问SMB共享及SPNEGO Web应用。
您希望统信UOS用户在登录系统后，无需重复输入账号密码即可访问企业内网的LDAP或Windows AD域资源（如文件服务器、Web应用、邮箱系统），这需要构建基于Kerberos票据的单点登录（SSO）能力。该能力依赖SSSD与Kerberos协同工作，而非仅配置LDAP基础认证。
前提：确保已成功对接LDAP/AD域
SSO不是独立功能，它建立在已通过SSSD完成域身份认证的基础之上。若尚未完成域账号登录配置，请先完成统信UOS LDAP或AD域对接——包括主机名设置、/etc/hosts解析、NTP时间同步、sssd.conf正确配置、libnss-sss与libpam-sss安装、SSSD服务启用并能正常查询域用户。缺少任一环节，Kerberos票据无法获取，SSO即失效。
执行命令验证域连接状态：sudo sssctl domain-status example.com（将example.com替换为您的域名），输出中必须显示“Online: True”且“Status: OK”。若显示“Offline”或“Failed”，请勿继续后续步骤。
启用Kerberos认证并生成初始票据
SSSD默认启用Kerberos支持，但需确认其配置中明确启用了krb5认证提供者，并手动触发一次票据获取以验证流程。
第一步：检查SSSD配置是否启用Kerberos。打开/etc/sssd/sssd.conf，确认[domain/example.com]节下存在以下两行：
auth_provider = krb5
krb5_realm = EXAMPLE.COM
注意：krb5_realm值必须全大写，且与AD域的实际Realm名称完全一致（如AD域名为ad.company.com，Realm通常为COMPANY.COM）。大小写错误将导致票据申请失败。
第二步：重启SSSD服务使配置生效：sudo systemctl restart sssd。
第三步：切换到域用户账户（例如user@EXAMPLE.COM），执行：kinit user@EXAMPLE.COM。系统将提示输入该域用户的密码。输入正确后无报错即表示票据已成功缓存。
第四步：运行klist查看票据状态。输出中应包含“Default principal: user@EXAMPLE.COM”及有效起止时间。若提示“klist: No credentials cache found”，说明kinit未成功或票据已过期。
配置PAM模块自动续订Kerberos票据
手动kinit只能解决一次性票据问题，SSO要求用户每次登录桌面时自动获取并维护票据。这需修改PAM配置，让lightdm在用户会话启动时调用krb5模块。
方法一：使用authconfig工具（推荐，安全可靠）
执行命令：sudo authconfig --enablekrb5 --update。该命令会自动更新/etc/pam.d/common-auth和/etc/pam.d/common-session，插入krb5相关行，无需手动编辑。
方法二：手动编辑PAM配置（适用于authconfig不可用环境）
执行：sudo nano /etc/pam.d/lightdm，在文件开头附近添加以下两行（位置不能错）：
auth [default=ignore] pam_krb5.so minimum_uid=1000
session optional pam_krb5.so minimum_uid=1000
保存退出。这两行确保lightdm在认证和会话阶段调用Kerberos模块，为UID≥1000的普通用户（含域用户）自动处理票据。
验证SSO效果
注销当前会话，重新登录系统。登录成功后立即打开终端，运行klist。若看到有效票据，则说明登录过程已自动完成kinit。
接着测试实际应用场景：在文件管理器地址栏输入smb://fileserver.example.com，回车。若无需再次输入用户名密码即显示共享目录，表明Samba访问已实现SSO；打开浏览器访问已配置SPNEGO的内部Web系统（如Jenkins、GitLab），同样应跳过登录页直接进入。
