GitLab LDAP配置：如何用last_name和first_name替换name字段？

问题概述 #

需要将GitLab LDAP同步的name字段替换为last_name和first_name，但配置属性映射后，数据库内的last_name与first_name字段始终为空。已执行gitlab-ctl reconfigure生效配置，也尝试删除用户后重新创建，问题仍未解决。

当前LDAP配置 #

gitlab_rails['ldap_enabled'] = true
 gitlab_rails['ldap_servers'] = YAML.load <<-'EOS'
   main: # 'main' is the GitLab 'provider ID' of this LDAP server
     label: 'AD'
     host: 'example.com'
     port: 389
     uid: 'sAMAccountName'
     bind_dn: 'CN=gitlab,OU=general,DC=example,DC=com'
     password: 'pass'
     encryption: 'plain' # "start_tls" or "simple_tls" or "plain"
     verify_certificates: false
#     tls_options: { verify_mode: 'OpenSSL::SSL::VERIFY_NONE', ca_file: '', ssl_version: '', ciphers: '', cert: '', key: '' }
     smartcard_auth: false
     active_directory: true
     allow_username_or_email_login: false
     lowercase_usernames: true
     block_auto_created_users: false
     base: 'DC=example,DC=com'
     user_filter: ''
     attributes:
        username: ['uid', 'userid', 'sAMAccountName']
        email: ['mail', 'email', 'userPrincipalName']
        name: 'cn'
        first_name: 'givenName'
        last_name: 'sn'
EOS

排查步骤 #

1. 验证LDAP属性存在性
   从LDAP属性示例确认，用户对象确实存在givenName（名）和sn（姓）属性且有有效值，排除LDAP端无数据的问题。

2. 检查GitLab LDAP同步日志
   查看GitLab应用日志，排查属性读取或同步报错：

   grep -i "ldap" /var/log/gitlab/gitlab-rails/application.log | tail -50
   

   重点关注包含givenName、sn的日志条目，确认GitLab是否尝试读取这些属性，是否有权限或格式错误。

3. 测试LDAP绑定用户权限
   使用ldapsearch工具验证绑定用户能否读取目标属性：

   ldapsearch -x -h example.com -p 389 -D "CN=gitlab,OU=general,DC=example,DC=com" -w "pass" -b "DC=example,DC=com" "sAMAccountName=你的测试用户名" givenName sn
   

   如果返回结果中缺少givenName或sn，说明绑定用户权限不足，无法读取这些属性。

4. 确认AD配置适配性
   配置中active_directory: true开启了GitLab对AD的特殊处理逻辑，需确认属性映射写法是否符合AD的读取规则，例如属性名大小写是否影响（AD属性名不区分大小写，但部分LDAP客户端可能有严格校验）。

解决方案 #

1. 补全LDAP绑定用户权限
   若绑定用户无读取权限，在AD控制台中为CN=gitlab,OU=general,DC=example,DC=com用户添加读取用户givenName、sn属性的权限，或直接赋予“读取所有用户属性”的权限。

2. 调整属性映射格式
   将first_name和last_name改为数组形式（与username、email保持一致），增强兼容性：

   attributes:
      username: ['uid', 'userid', 'sAMAccountName']
      email: ['mail', 'email', 'userPrincipalName']
      name: 'cn'
      first_name: ['givenName']
      last_name: ['sn']
   

   保存配置后执行：

   gitlab-ctl reconfigure
   gitlab-ctl restart
   

3. 触发全量LDAP同步

   • 登录GitLab管理后台，进入设置 > LDAP，点击立即同步执行全量同步；
   • 或通过Rails控制台强制同步：

     gitlab-rails console
     LdapSyncWorker.perform_force_sync
     

4. 重新测试用户同步
   删除之前的测试用户，等待LDAP自动同步用户，或在管理后台的LDAP页面搜索用户并手动触发同步，验证数据库中first_name和last_name字段是否填充。

内容的提问来源于stack exchange，提问作者Yan