FreeIPA用于Zabbix认证的配置问题求助

一、核心配置字段填写指南 #

针对FreeIPA作为Zabbix LDAP认证源，各字段正确填写方式如下：

• LDAP服务器：填FreeIPA服务器的域名或IP，比如ipa.example.com
• 端口：优先用636（LDAPS加密端口），FreeIPA默认启用这个端口；如果用明文LDAP填389（不推荐）
• 基础DN：对应FreeIPA的根域，比如dc=example,dc=com
• 搜索属性：填uid——FreeIPA里用户的登录名对应的就是这个属性
• 绑定DN：要提前在FreeIPA创建一个专门用于Zabbix查询的绑定账号，DN格式比如uid=zabbix_bind,cn=users,cn=accounts,dc=example,dc=com
• 绑定密码：上述绑定账号的登录密码
• 用户DN：填用户账号所在的搜索路径，比如cn=users,cn=accounts,dc=example,dc=com

二、登录报错（密码错误/用户锁定）排查方案 #

测试登录成功但实际启用后报错，按以下步骤排查：

1. 先通端口：用telnet ipa.example.com 636或openssl s_client -connect ipa.example.com:636测试Zabbix服务器到FreeIPA的636端口是否连通，同时检查证书是否被信任
2. 查绑定权限：确保绑定账号有读取FreeIPA用户信息的权限，FreeIPA普通用户默认具备，也可以给绑定账号单独配置只读权限
3. 解锁用户：登录FreeIPA控制台，检查要登录Zabbix的用户是否被锁定，执行ipa user-unlock 用户名解锁
4. 校验JIT配置：开启JIT后，要确保Zabbix的「自动注册」选项打开，同时把FreeIPA的用户组正确映射到Zabbix的权限组（比如把FreeIPA的admin组映射到Zabbix的Admin组）
5. 看日志定位：去Zabbix服务器日志/var/log/zabbix/zabbix_server.log里搜LDAP相关条目，能直接看到具体错误原因（比如证书不认可、搜索路径写错等）

内容的提问来源于stack exchange，提问作者toro75