NiFi 1.13.2配置LDAP认证时跨OU多账号登录报错问题

常见问题原因及对应解决方法 #

• 使用固定User DN Pattern模式
  如果你配置了User DN Pattern参数（例如uid={0},ou=users,dc=example,dc=com），这种模式只能匹配固定OU下的用户，完全不支持多OU场景。
  解决方法：注释掉User DN Pattern配置，改用绑定账号搜索的方式做身份验证，正确配置Manager DN、Manager Password、User Search Base、User Search Filter等核心参数。
• 搜索范围配置错误
  LDAP 身份提供器默认如果只配置了单个OU作为用户搜索根，或者User Search Scope参数设置为ONE_LEVEL，就只能搜索指定层级下的用户，无法遍历其他子OU/平级OU的账号。
  解决方法：
  1. 将login-identity-providers.xml中的User Search Base参数调整为LDAP目录的根DN，例如dc=example,dc=com，覆盖所有存储用户的OU范围
  2. 将User Search Scope参数设置为SUBTREE，开启全子树递归搜索
• 绑定账号权限不足
  你配置的Manager DN绑定账号如果只有部分OU的读取权限，访问其他OU的用户数据时会被LDAP服务端拒绝，导致用户信息拉取失败。
  解决方法：给绑定账号配置所有用户存储OU的只读权限，或者整个LDAP目录的只读权限。
• 用户搜索过滤规则不匹配
  如果不同OU的用户登录名使用的属性不一致，比如部分用sAMAccountName、部分用uid，或者过滤规则限制了用户所属组/OU，就会导致部分用户匹配不到。
  解决方法：调整User Search Filter参数适配全量用户的属性规则，例如需要同时支持sAMAccountName和uid登录可以写为(|(sAMAccountName={0})(uid={0}))。

验证方法 #

修改配置前可以先用ldapsearch工具验证搜索逻辑是否生效，执行命令：

ldapsearch -x -h <LDAP服务端地址> -p <LDAP端口> -D "<绑定账号Manager DN>" -w "<绑定账号密码>" -b "<你配置的User Search Base>" -s subtree "(<搜索属性>=<测试用其他OU的用户名>)"

如果命令可以正常返回对应用户的信息，再将对应参数同步到NiFi配置中，修改配置后重启NiFi即可生效。
另外需要同步检查authorizers.xml中的身份映射规则，避免用户验证通过后因权限映射失败无法访问系统。

内容的提问来源于stack exchange，提问作者khashayar