SAS Viya无法同步500名以上LDAP用户及LDAP查询报错求助

问题根源 #

你遇到的size limit exceeded (4)错误，核心原因是LDAP服务器默认设置了单次查询最大返回条目数为500，超过这个阈值就会触发限制，直接导致SAS Viya无法同步后续用户。

步骤1：调整LDAP服务器的查询大小限制 #

针对Red Hat Directory Server/389 Directory Server #

1. 创建LDAP配置修改文件（命名为modify_sizelimit.ldif），内容如下：

dn: cn=config
changetype: modify
replace: nsslapd-sizelimit
nsslapd-sizelimit: 1000  # 改为你需要的数值，比如1000；若需无限制可设为-1，但生产环境不建议直接用-1，需评估性能影响

2. 使用ldapmodify工具执行修改，命令格式：

ldapmodify -x -D "cn=Directory Manager" -W -f modify_sizelimit.ldif

• -x：启用简单认证模式
• -D：替换为你的LDAP管理员DN（比如cn=admin,dc=yourdomain,dc=com）
• -W：命令执行后会提示输入管理员密码
• -f：指定刚才创建的LDIF配置文件路径

3. 重启LDAP服务使配置生效：

systemctl restart dirsrv.target

若为OpenLDAP服务器 #

1. 创建LDIF配置文件（命名为modify_openldap_sizelimit.ldif）：

dn: cn=config
changetype: modify
replace: sizeLimit
sizeLimit: 1000

2. 执行修改命令：

ldapmodify -x -D "cn=admin,cn=config" -W -f modify_openldap_sizelimit.ldif

3. 重启OpenLDAP服务：

systemctl restart slapd

步骤2：验证LDAP查询限制是否生效 #

执行以下命令测试是否能返回超过500条用户条目：

ldapsearch -x -b "dc=yourdomain,dc=com" "(objectClass=user)" | wc -l

替换dc=yourdomain,dc=com为你的LDAP基础DN，若返回数值超过500则说明修改生效。

步骤3：优化SAS Viya的LDAP同步配置 #

即使调整了LDAP服务器的限制，建议开启SAS Viya的LDAP分页查询，避免一次性同步大量用户引发性能问题：

1. 找到SAS Viya的LDAP同步配置文件（通常路径为/opt/sas/viya/config/etc/identities/identities.yml）
2. 添加或修改分页相关配置项：

ldap:
  pagination:
    enabled: true
    pageSize: 100  # 每页同步100条，可根据实际场景调整

3. 重启SAS Viya身份服务：

systemctl restart sas-viya-identities-default

关键排查要点 #

• 确保执行ldapmodify的账号拥有LDAP服务器的管理员权限（如Directory Manager或cn=admin）
• 修改限制后必须重启LDAP服务，否则配置不会生效
• 若生产环境不适合调大全局查询限制，可给SAS Viya的LDAP绑定账号单独设置更高的查询阈值（需在LDAP服务器端配置ACLs）
• 检查SAS Viya的LDAP绑定账号是否有权限读取所有用户条目

内容的提问来源于stack exchange，提问作者Chaelynn Kim