如何配置slapd以支持用户通过用户名而非DN进行LDAP绑定认证？

我完全理解你的困扰——让普通用户记住自己的完整DN确实不太现实，我们可以通过两种常见方式解决这个问题：一种是在slapd服务器端配置，让它直接支持用用户名绑定；另一种是在客户端代码里先匿名搜索用户的DN，再进行绑定认证。下面分别详细说明：

方案一：服务器端配置，直接支持用户名绑定 #

这种方式需要修改slapd的配置，让服务器自动将输入的用户名映射到对应的用户DN。核心是使用olcAuthzRegexp（授权正则表达式）来实现这种映射。

步骤1：确保用户条目包含唯一的用户名属性 #

首先，检查你的用户条目（比如cn=test,ou=DepartmentOne,dc=example,dc=com）是否包含uid属性（通常用来存储登录用户名）。如果没有，你可以通过ldapmodify添加：
创建一个add-uid.ldif文件：

dn: cn=test,ou=DepartmentOne,dc=example,dc=com
changetype: modify
add: uid
uid: test

然后执行命令：

ldapmodify -x -D "cn=admin,dc=example,dc=com" -W -f add-uid.ldif

（替换cn=admin,dc=example,dc=com为你的slapd管理员DN，执行后输入管理员密码即可）

步骤2：添加授权正则表达式配置 #

创建一个enable-username-bind.ldif配置文件，用来告诉slapd如何将用户名映射到DN：

dn: olcDatabase={1}mdb,cn=config
changetype: modify
add: olcAuthzRegexp
# 针对简单绑定（Basic Auth）的映射：将输入的用户名匹配为uid属性，自动查找对应的DN
olcAuthzRegexp: "^(.*)$" "ldap:///dc=example,dc=com??sub?(uid=$1)"

注意：olcDatabase={1}mdb需要根据你的实际数据库配置调整，可以通过ldapsearch -Y EXTERNAL -H ldapi:/// -b cn=config "(olcDatabase=*)" dn命令查看你的数据库DN。

然后执行命令导入配置：

ldapmodify -Y EXTERNAL -H ldapi:/// -f enable-username-bind.ldif

步骤3：重启slapd服务 #

配置修改后需要重启服务生效：

sudo systemctl restart slapd

现在你就可以直接用用户名绑定了，也就是你提供的那段代码：

string username = "test", userPassword = "test";
var ldapConnection = new LdapConnection(new LdapDirectoryIdentifier("localhost", 389))
{
    AuthType = AuthType.Basic
};
ldapConnection.SessionOptions.ProtocolVersion = 3;
ldapConnection.Bind(new NetworkCredential(username, userPassword));

方案二：客户端先搜索DN，再绑定认证 #

如果不想修改服务器配置，也可以在代码里先通过匿名搜索找到用户的DN，再用DN进行绑定认证，之后再检查用户是否属于指定OU。这种方式更灵活，也不需要调整服务器端设置。

修改后的.NET代码示例：

string username = "test", userPassword = "test";
var ldapConnection = new LdapConnection(new LdapDirectoryIdentifier("localhost", 389))
{
    AuthType = AuthType.Anonymous
};
ldapConnection.SessionOptions.ProtocolVersion = 3;

// 先进行匿名绑定，用于搜索用户DN
ldapConnection.Bind();

// 搜索用户名对应的用户条目，获取DN
var searchRequest = new SearchRequest(
    "dc=example,dc=com", // 你的LDAP根域
    $"(&(objectClass=person)(uid={username}))", // 用uid匹配用户名，也可以换成cn如果你的用户名存在cn属性里
    SearchScope.Subtree,
    "dn" // 只返回DN属性即可
);

SearchResponse searchResponse;
try
{
    searchResponse = (SearchResponse)ldapConnection.SendRequest(searchRequest);
}
catch (Exception ex)
{
    throw new Exception("搜索用户失败", ex);
}

if (searchResponse.Entries.Count == 0)
{
    throw new Exception("用户不存在");
}
// 获取用户的完整DN
string userDN = searchResponse.Entries[0].DistinguishedName;

// 切换为Basic认证，用正确的DN绑定
ldapConnection.AuthType = AuthType.Basic;
try
{
    ldapConnection.Bind(new NetworkCredential(userDN, userPassword));
}
catch (Exception ex)
{
    throw new Exception("用户名或密码错误", ex);
}

// 绑定成功后，检查用户是否属于DepartmentOne OU
var ouCheckRequest = new SearchRequest(
    userDN,
    "(ou=DepartmentOne)", // 检查用户的ou属性，或者用memberOf检查所属组（如果有配置组的话）
    SearchScope.Base,
    "ou"
);

var ouCheckResponse = (SearchResponse)ldapConnection.SendRequest(ouCheckRequest);
if (ouCheckResponse.Entries.Count == 0)
{
    throw new Exception("用户不属于DepartmentOne OU");
}

// 到这里，用户认证成功且属于指定OU

注意事项 #

• 方案一中，要确保所有用户的uid属性是唯一的，否则服务器可能匹配到多个条目导致绑定失败。
• 方案二中，需要确保slapd允许匿名用户搜索用户条目，默认配置通常允许，但如果你的配置限制了匿名访问，需要调整olcAccess规则，比如添加：

dn: olcDatabase={1}mdb,cn=config
changetype: modify
add: olcAccess
olcAccess: to dn.subtree="dc=example,dc=com" by anonymous search

备注：内容来源于stack exchange，提问作者HasQuestionsAndAnswers