如何让LAMP应用实现LDAPS认证功能？

我们数月来一直尝试为内部LAMP应用启用LDAPS连接，该服务器无需特殊加密套件，仅需访问LDAPS端口。

环境信息 #

lampstack-7.2.26-0
Apache/2.4.6 (CentOS)
PHP 5.4.16
OpenSSL 1.0.2k-fips

当前正常运行的LDAP认证.htaccess配置 #

AuthType               Basic
AuthName               "Login with your Company ID"
AuthBasicProvider      ldap
AuthLDAPURL            "ldap://xxx/DC=xx,DC=x,DC=grp?sAMAccountName"
AuthLDAPBindDN         "svc-apache-ldap-auth"
AuthLDAPBindPassword   "<password>"
AuthLDAPCompareAsUser  on
LDAPReferrals          off

Require ldap-group CN=sxx,OU=xx,OU=Services,OU=Groups,OU=Enterprise,DC=xx,DC=x,DC=xx

客户端测试结果 #

root用户执行LDAP/LDAPS测试均成功：

as root user:
ldapsearch -ZZ  --> OK
ldapsearch (unsecured) --> OK

普通域用户仅非加密LDAP测试成功：

with domain user:
ldapsearch -ZZ  --> ldap_start_tls: Connect error (-11)
ldapsearch (unsecured) --> OK

我们怀疑存在权限问题，因为LAMP服务以daemon用户运行。

已尝试的操作及报错 #

• 将.htaccess中的AuthLDAPURL从ldap://改为ldaps://：

  AuthLDAPURL            "ldaps://xxx/DC=xx,DC=x,DC=grp?sAMAccountName"
  

  修改后网页返回500错误，日志报错：

  AH01695: auth_ldap authenticate: user XXX authentication failed; URI / [LDAP: ldap_set_option failed.Could not set LDAP_OPT_X_TLS to LDAP_OPT_X_TLS_HARD][Can't contact LDAP server]
  

• 在ldap.conf中添加以下配置，问题依旧：

  TLS_CRLCHECK none
  TLS_REQCERT never
  

目前不确定还能尝试哪些操作来实现LDAPS认证，恳请帮助。

内容的提问来源于stack exchange，提问作者Mauricio Afiuni