如何将Google LDAP同步至带NetBIOS支持的AWS AD服务以对接HikCentral？

Google LDAP 同步至 AWS AD 服务的可行性 #

• AWS Simple AD：不支持原生从Google LDAP同步用户数据，但可通过第三方同步工具（如Google Cloud Directory Sync、One Identity Identity Manager等）实现用户、组的单向或双向同步。需确保工具支持LDAP到AD的字段映射，同时适配Simple AD的架构限制（如不支持组策略、域信任等高级AD功能）。
• AWS Managed Microsoft AD：完全支持NetBIOS域名，且具备完整的AD功能，同样可通过上述第三方同步工具对接Google LDAP完成用户数据同步。若后续需要使用AD高级功能，推荐优先选择该服务。

配置错误排查与解决 #

1. 「Failed to connect to the domain server」错误（已导入证书，第三方AD浏览器可正常SSL连接） #

• 确认端口配置：HikCentral的AD SSL连接需使用636端口，检查配置中填写的端口是否与第三方工具一致。
• 验证证书链完整性：部分软件需导入完整的证书信任链（根CA证书+中间CA证书）才能建立SSL连接，仅导入服务器证书可能导致验证失败。
• 检查网络策略：确认HikCentral服务器所在环境的防火墙、安全组规则已放行到AD服务器636端口的流量，避免网络层面的连通性阻断。

2. 搭建stunnel后出现「Domain name, user name, or password do not match. Please check.{Error code: SYS[1031]}」错误 #

• 修正NetBIOS域名格式：HikCentral要求的AD用户名格式为NetBIOS域名\用户名（例如CORP\john.doe），而非UPN格式（john.doe@corp.com）。可通过以下方式获取正确的NetBIOS域名：
  • 在AWS AD控制台的目录详情中查看NetBIOS名称（通常为域名前缀，如域名为corp.example.com时NetBIOS名为CORP）；
  • 通过第三方AD浏览器连接后，查看域对象的sAMAccountName属性对应的域名前缀。
• 检查stunnel配置：确保stunnel配置文件中正确映射了HikCentral的请求端口到AD服务器的636端口，且stunnel服务处于正常运行状态。
• 验证账号权限：确认使用的AD账号具备域目录的读取权限，部分AD服务限制匿名访问，需使用域用户或具备读取权限的专用账号。

内容的提问来源于stack exchange，提问作者seesoe