如何实现OpenLDAP与Samba4域的同步及用户密码迁移？

嗨，我来帮你梳理下这个问题的解决方案——你提到的SSSD确实是个靠谱的工具，但得先明确它的定位，再聊聊密码同步这个棘手的点，最后给你一些可行的方案和思路：

关于SSSD在Samba4中的使用 #

SSSD（System Security Services Daemon）主要是用来让Linux系统从LDAP、AD这类目录服务中获取身份信息的，它能帮Samba4间接读取OpenLDAP用户，但它本身不是做双向同步的工具。具体来说：

• 你可以配置SSSD让服务器先从OpenLDAP拉取用户信息，再让Samba4通过SSSD来识别这些用户，这样OpenLDAP的用户就能在Samba环境下认证了，但这只是单向的读取，不是实时同步用户到Samba4的域数据库里。
• 如果你的需求是把OpenLDAP用户同步到Samba4的内部LDAP（也就是AD数据库），那SSSD就不适合做这件事了，它的核心是身份认证代理，不是数据同步工具。

密码迁移与实时同步的核心难点 #

你说得对，密码迁移最麻烦的就是哈希格式不兼容：OpenLDAP常用的是{SHA}、{SSHA}这类哈希，而Samba4 AD用的是NTLMv2或者Kerberos的密钥格式，直接复制哈希值是没法用的，必须做格式转换或者让用户重新设置密码，但后者显然不符合你的需求。

可行的同步方案 #

这里给你几个经过验证的思路：

1. 使用ldapsync工具（专门的LDAP同步工具） #

有个叫ldapsync的开源工具可以实现OpenLDAP到Samba4 AD的双向或单向同步，它支持密码格式转换——不过需要注意，你得确保OpenLDAP的密码存储是可读取的（比如不要用不可逆的哈希，或者如果是可逆的格式才能转换）。配置的时候可以设置触发条件，比如OpenLDAP有用户新增/修改时自动同步到Samba4，实现实时同步的效果。

2. 编写自定义脚本结合LDAP监听 #

如果现成工具满足不了需求，你可以自己写脚本：

• 用slapo-accesslog模块监听OpenLDAP的变更日志，当检测到用户或密码变化时触发脚本；
• 脚本读取OpenLDAP的用户数据，然后通过Samba4的samba-tool命令（比如samba-tool user create、samba-tool user setpassword）来同步到AD域中；
• 密码部分，如果OpenLDAP存储的是明文或者可逆加密的密码，脚本可以直接调用smbpasswd或者samba-tool设置密码；如果是不可逆哈希，可能需要让用户在第一次登录Samba时重置密码，或者通过Kerberos集成来绕开哈希转换的问题。

3. 让Samba4直接使用OpenLDAP作为身份源（不迁移，直接共用） #

如果不需要把用户真正迁移到Samba4的内部LDAP，你可以配置Samba4直接对接OpenLDAP作为身份后端：

• 配置Samba使用ldap passdb backend，把OpenLDAP作为用户数据库；
• 同时配置Kerberos服务（如果需要）和OpenLDAP集成，这样用户用OpenLDAP的密码就能直接登录Samba域服务了；
• 这种方式不需要迁移数据，相当于共用用户池，自然也就不存在同步的问题，但需要确保OpenLDAP的配置符合Samba的要求（比如必须有对应的属性映射，比如uid对应sAMAccountName等）。

实操注意事项 #

• 不管用哪种方案，都要先在测试环境验证，避免影响生产环境的域服务；
• 密码同步时一定要注意数据安全，传输过程用TLS加密，避免密码泄露；
• 如果用自定义脚本，要做好错误处理和日志记录，方便排查同步失败的问题。

备注：内容来源于stack exchange，提问作者campos