如何配置Samba4 Active Directory的LDAP以对接Nextcloud实现账号密码同步

Samba4 Active Directory 默认内置兼容LDAP v3协议的目录服务，无需额外部署OpenLDAP，直接使用自带的LDAP组件即可对接Nextcloud实现账号密码同步，额外安装OpenLDAP反而会导致账号体系冲突、密码不同步等问题。

配置步骤 #

1. 确认Samba4 AD LDAP服务状态 #

Samba4 作为域控制器运行时默认开启LDAP服务，执行以下命令验证状态：

• 检查Samba服务运行状态：samba-tool status
• 验证LDAP端口监听状态：ss -tulnp | grep -E ':(389|636)'

389为非加密LDAP端口，636为SSL加密LDAPS端口，生产环境推荐使用636端口

2. 创建专用LDAP绑定账号 #

不要直接使用域管理员账号作为Nextcloud的绑定账号，建议创建仅拥有目录只读权限的专用服务账号：

1. 新建绑定账号：

samba-tool user create nextcloud_bind 自定义强密码 --given-name=NextcloudBind --surname=Service --description="Nextcloud LDAP绑定专用账号"

2. 获取该账号的SID：

samba-tool user show nextcloud_bind | grep objectSid

3. 给账号分配LDAP目录只读权限：

samba-tool dsacl set --objectdn="DC=你的域前缀,DC=你的域后缀" --sddl="(A;;RPLCRC;;;<上一步查询到的绑定账号SID>)"

3. 记录LDAP对接参数 #

配置Nextcloud LDAP插件时需要用到以下参数，提前替换为你自己的域信息即可：

• LDAP服务器地址：Samba4 AD服务器的内网IP或域名
• 端口：非加密用389，SSL加密用636
• 绑定DN：格式为CN=nextcloud_bind,CN=Users,DC=你的域前缀,DC=你的域后缀
• 绑定密码：你刚刚设置的nextcloud_bind账号密码
• 用户搜索基础DN：CN=Users,DC=你的域前缀,DC=你的域后缀
• 用户搜索过滤器：(&(objectClass=user)(!(userAccountControl:1.2.840.113556.1.4.803:=2)))（自动过滤禁用的域账号）
• 登录属性：直接使用sAMAccountName即可，和Windows域登录的用户名规则完全一致

4. 本地验证LDAP配置有效性 #

在Samba4服务器上执行ldapsearch命令验证配置是否正常：

ldapsearch -x -H ldap://127.0.0.1:389 -D "CN=nextcloud_bind,CN=Users,DC=你的域前缀,DC=你的域后缀" -w 绑定账号密码 -b "CN=Users,DC=你的域前缀,DC=你的域后缀" "(sAMAccountName=测试用的普通域账号名)"

如果正常返回测试账号的详细信息，说明Samba4侧的LDAP配置已经完成，直接去Nextcloud后台的LDAP用户认证插件中填入上述参数即可实现域账号和Nextcloud账号的密码同步。

注意事项 #

• 不要修改Samba4默认的LDAP schema，Nextcloud默认兼容AD的LDAP字段规则，自定义schema可能导致域服务异常
• 如果使用LDAPS加密对接，需要将Samba4 AD的根证书导入Nextcloud服务器的系统信任证书列表，避免证书校验失败
• 绑定账号仅需只读权限即可，不要给账号分配域管理、用户修改等多余权限，降低安全风险

内容的提问来源于stack exchange，提问作者Justin Schmitt