BAW/WAS环境配置双不同域LDAP（端口389）的可行性及方法

可行性结论 #

该需求完全可行。WebSphere Application Server（WAS）支持通过联合存储库整合不同域的LDAP服务器，也可配置多个独立LDAP作为认证源；BAW则依托WAS的安全体系，直接复用多LDAP配置实现用户认证与权限管理。

WAS层面实现方法 #

推荐方案：联合存储库整合双LDAP #

联合存储库是WAS中整合多LDAP的最优方式，可统一认证入口，同时支持跨域用户的管理：

1. 登录WAS管理控制台，导航至安全性 > 全局安全性，在「用户注册表」下拉框选择「联合存储库」，点击「配置」。
2. 添加第一个LDAP存储库：
   • 点击「添加」，选择「LDAP存储库」，填写唯一的存储库ID（如mofLDAP）。
   • 配置LDAP核心参数：
     • LDAP服务器类型：根据实际LDAP产品选择（如IBM TDS、OpenLDAP）
     • 主机：mof.com域的LDAP服务器地址
     • 端口：389
     • 基准DN：dc=mof,dc=com
     • 绑定DN与绑定密码：填写具备用户/组读取权限的LDAP账号信息
   • 完成配置后点击「确定」。
3. 重复步骤2，添加第二个LDAP存储库（ID设为monLDAP），对应mon.com域的参数：主机、端口389、基准DNdc=mon,dc=com。
4. 配置属性映射：确保两个LDAP的用户属性（如uid、cn）与WAS标准用户属性正确映射，避免认证失败。
5. 设置主存储库（可选）：若需指定默认认证域，可在联合存储库设置中选择其中一个LDAP作为主存储库；若无需默认，可跳过此步。
6. 保存配置，重启WAS所有节点使配置生效。

备选方案：配置多个独立LDAP认证源 #

此方式需分别配置LDAP作为备选认证入口，灵活性较低：

1. 进入安全性 > 全局安全性，用户注册表选择「LDAP」，先配置mof.com域的LDAP参数，保存配置。
2. 导航至安全性 > 认证机制 > 应用程序登录，添加第二个LDAP配置作为备选认证源，完成后保存并重启节点。

BAW配置管理器层面配置 #

BAW依托WAS的安全体系，只需完成以下步骤即可复用双LDAP配置：

1. 登录BAW配置管理器（访问地址通常为https://<BAW服务器地址>:9443/bpm/config）。
2. 验证安全配置：进入安全配置模块，确认BAW已启用「使用WebSphere全局安全性」（默认启用）。
3. 配置用户与权限：
   • 进入用户管理模块，可直接搜索来自mof.com和mon.com域的用户/组，将其添加至BAW的对应角色（如管理员、流程设计师、普通用户等）。
   • 若需限制特定域用户访问，可通过BAW安全策略设置过滤规则，或在WAS中配置访问控制列表（ACL）实现。
4. 验证配置：使用两个域的测试用户登录BAW门户，确认可正常访问并拥有对应权限。

注意事项 #

• 确保WAS服务器能连通两个LDAP的389端口，无防火墙或网络策略限制。
• 避免两个LDAP域出现重复的用户ID，若存在重复，需在联合存储库中配置属性优先级，或使用唯一属性（如userPrincipalName）作为用户标识。
• 绑定DN需具备足够权限读取LDAP中的用户、组及属性信息。

内容的提问来源于stack exchange，提问作者Nipun_Chandu