Azure AD实例执行LDAPS搜索返回Invalid credentials(49)错误求助

你收到的AcceptSecurityContext error, data 52e属于LDAP凭证校验类错误，但并非仅代表密码错误，绝大多数情况是用户绑定身份格式、检索根目录配置与AAD DS（Azure AD域服务）的实际身份上下文不匹配导致。

• 修正绑定用户名格式：你当前使用的userx@devopoutlook.onmicrosoft.com为AAD默认域名后缀，该后缀的身份不会同步到你创建的AAD DS实例（域为xyz.abc.com）中。需替换为两种合法绑定格式之一：
  • UPN格式：userx@xyz.abc.com
  • SAM账户格式：XYZ\userx
  • 完整DN格式：cn=userx,ou=AADDC Users,dc=xyz,dc=abc,dc=com（AAD DS默认所有用户存放在AADDC UsersOU下）
• 修正Base DN配置：你当前填写的dc=devopoutlook,dc=onmicrosoft,dc=com与AAD DS域不一致，需替换为与你的AAD DS域匹配的根dc=xyz,dc=abc,dc=com
• 确认哈希同步状态：纯云用户必须在AAD DS启用后至少完成一次密码修改/重置，才会生成适配LDAP认证的NTLM哈希同步到AAD DS实例，重置密码后建议等待15-20分钟再测试，避免同步延迟导致校验失败。
• 确认AAD DS配置开关：需检查AAD DS安全LDAP配置页中，允许通过互联网访问安全LDAP开关已开启，仅开启安全LDAP、未开互联网访问的情况下公网请求也会触发认证错误。

LDAPTLS_REQCERT=never ldapsearch -x -D "userx@xyz.abc.com" -W -H ldaps://x.x.x.x:636 -b "dc=xyz,dc=abc,dc=com"

内容的提问来源于stack exchange，提问作者thirteen