Linux(RHEL)通过LDAP创建Windows AD账户失败及TLS/SSL连接问题

非SSL/TLS连接测试 #

在RHEL服务器上执行ldapadd命令创建AD账户：

ldapadd -d 255 -v -H ldap://[Window IP] -D "admin@[Domain Name]" -w [Password] -f ldap_user.ldif

出现错误：

ldapadd server is unwilling to perform (53)，附加信息：0000209A: SvcErr: DSID-031A1030, problem 5003 (WILL_NOT_PERFORM), data 0

已确认密码策略、账户创建权限无问题，且ldapsearch命令可正常执行：

ldapsearch -H ldap://[Window IP] -b [Base DN] -D "admin@[Domain Name]" -w [Password]

SSL/TLS连接测试 #

尝试改用LDAPS连接，从Windows服务器MMC导出Base64格式的CA证书（文件名ca.cer），执行命令：

ldapadd -d 255 -v -H ldaps://[Window IP]:636 -D "admin@[Domain Name]" -w [Password] -f ldap_user.ldif

仍出现相同的53错误，调试日志显示tls_read: want=5 error=Bad file descriptor。

执行openssl s_client验证SSL连接：

openssl s_client --connect [Window IP]:636 -CAfile ca.cer

返回验证错误：

Verify return code: 21 (unable to verify the first certificate)

已完成的排查项 #

• 确认SSL/TLS的IP和端口访问权限正常
• 已在Linux服务器上注册证书

请问还能尝试哪些解决方法？

内容的提问来源于stack exchange，提问作者H_west