使用OpenLDAP(osixia镜像)时cn=admin账号为何无法在目录树中找到？

1. 为什么cn=admin,dc=example,dc=org能登录但搜不到？ #

这个账号是OpenLDAP的根DN（Root Distinguished Name），属于LDAP服务的内置超级管理员，它并不属于你看到的dc=example,dc=org目录树里的普通条目。根DN的核心作用是初始化目录、管理整个LDAP服务的底层配置，拥有最高权限，所以它不会出现在普通的目录搜索结果里。

2. 根DN的密码存在哪里？ #

根DN的密码不是存储在用户条目里，而是保存在OpenLDAP的**配置数据库（cn=config）**中。具体是在olcDatabase={1}mdb,cn=config这个配置条目下的olcRootPW属性里，存储的是加密后的密码字符串。

你可以用以下命令查看：

ldapsearch -x -D cn=admin,cn=config -W -b cn=config olcDatabase={1}mdb olcRootPW

执行时输入配置数据库的管理员密码（默认也是admin，未修改的话）就能看到加密后的密码内容。

3. uid=admin,ou=system和根DN的区别 #

uid=admin,ou=system是osixia镜像默认创建的普通管理员用户，它属于目录树里的正式条目，所以你能在Apache Directory Studio里看到并修改它的密码。这个账号的权限是通过LDAP的ACL（访问控制列表）配置的，主要用来管理dc=example,dc=org目录下的数据；而根DNcn=admin,dc=example,dc=org是服务级别的超级管理员，不仅能管理数据，还能修改LDAP的核心配置（比如添加新数据库、调整全局ACL等）。

内容的提问来源于stack exchange，提问作者Alexei Andronov