PostgreSQL LDAP认证配置故障：连接时提示“user is not authenticated (LDAP)”问题排查

让我们一步步梳理可能导致你遇到user is not authenticated (LDAP)错误的原因，结合你的配置和场景，以下是几个重点排查方向：

1. LDAP用户名格式与AD匹配规则不兼容 #

你当前的配置中，ldapprefix="" + ldapsuffix="@domain.com"会让PostgreSQL将登录用户名myusername拼接成myusername@domain.com发送给LDAP验证，但AD的身份验证逻辑可能需要不同的格式：

• 如果AD使用sAMAccountName属性匹配用户，建议改用绑定用户+搜索过滤器的方式，这样更灵活。修改你的pg_hba.conf规则如下：

host all myusername 0.0.0.0/0 ldap 
ldapserver=ldap.server.address 
ldapport=10636 
ldapbinddn="CN=LDAP绑定用户,OU=服务账号,DC=domain,DC=com" 
ldapbindpasswd="绑定用户密码" 
ldapsearchfilter="(sAMAccountName=%u)" 
ldapscheme=ldaps

这里的%u会被替换为登录的PostgreSQL用户名，通过绑定用户搜索AD中匹配sAMAccountName的用户，再验证密码。

• 如果不需要绑定用户，直接使用用户DN绑定，你需要调整ldapprefix和ldapsuffix来组成正确的用户DN，比如用户DN是CN=myusername,OU=Users,DC=domain,DC=com，则设置：

ldapprefix="CN="
ldapsuffix=",OU=Users,DC=domain,DC=com"

2. LDAPS证书验证失败 #

因为你启用了ldapscheme=ldaps，PostgreSQL会严格验证LDAP服务器的SSL证书。如果AD的证书是自签发的，或者PostgreSQL的信任库中没有对应的CA证书，就会导致连接失败：

• 可以临时关闭证书验证（仅用于测试，生产环境不推荐），添加ldaptls=0参数到pg_hba规则中，看是否能成功认证。
• 若确认是证书问题，将AD的CA证书导入到PostgreSQL的信任目录（通常是/var/lib/postgresql/.postgresql/root.crt），并确保文件权限正确（postgres用户可读）。

3. pg_hba.conf规则顺序问题 #

pg_hba.conf的规则是从上到下匹配的，如果你的LDAP规则前面有其他更宽泛的规则（比如host all all 0.0.0.0/0 md5），可能会优先匹配那条规则，导致LDAP认证逻辑未触发。请将你的LDAP规则移到所有可能匹配的规则之前。

4. AD用户的访问限制或状态问题 #

虽然用户能登录其他服务，但仍需检查：

• AD中该用户是否被锁定、密码是否过期。
• AD是否限制了从PostgreSQL服务器IP地址发起的认证请求（部分AD会设置IP白名单）。

5. 查看PostgreSQL详细日志定位问题 #

开启PostgreSQL的调试日志能帮你找到更精准的错误原因：

• 修改postgresql.conf中的log_min_messages为debug1，重启PostgreSQL服务。
• 再次尝试连接数据库，查看日志文件（通常在/var/log/postgresql/目录下），你会看到LDAP认证过程的详细信息，比如发送的用户名、LDAP服务器的响应等，这能快速定位问题所在。

内容的提问来源于stack exchange，提问作者John Brown