现有AD用户登录Java LDAP集成程序时出现通信异常求助

异常信息 #

javax.naming.PartialResultException [Root exception is javax.naming.CommunicationException: CBSL.AD.389 [Root exception is java.net.UnknownHostException: CBSL.AD]]

核心原因分析 #

异常根因是DNS无法解析主机名CBSL.AD，现有AD用户登录触发错误、新用户正常的可能原因如下：

• 老用户AD属性关联无效域控地址：老用户的userPrincipalName、servicePrincipalName或distinguishedName中的域组件包含CBSL.AD，程序验证时会尝试解析该主机名；而新用户的属性使用的是可正常解析的域控地址。
• LDAP搜索返回无效引用：查询老用户时，LDAP服务器返回了指向CBSL.AD的引用（referral），程序默认跟随引用但解析失败；新用户的搜索结果无此无效引用，或引用地址正常。
• DNS缓存/记录失效：CBSL.AD对应的DNS记录已删除或失效，但程序所在服务器的DNS缓存仍保留老用户相关的无效解析；新用户创建时使用的是更新后的有效DNS记录，解析正常。
• 域控分区差异：老用户所在OU/域分区对应的域控制器为CBSL.AD，该域控已下线或未更新DNS；新用户创建在其他正常域控管辖的分区，程序查询时连接的是有效域控。

排查方向 #

• 对比新旧用户的AD属性，检查是否存在包含CBSL.AD的字段差异。
• 在程序服务器执行nslookup CBSL.AD，确认该主机名是否真的无法解析。
• 查看LDAP连接配置，检查是否开启了引用跟随（follow referrals），并捕获老用户查询时的返回引用地址。
• 联系AD管理员，确认CBSL.AD域控状态及新旧用户的OU所属域控分区。

内容的提问来源于stack exchange，提问作者KMS