Guacamole 1.3.0 Linux原生安装后LDAP集成配置及登录验证求助

前置校验 #

先确认已完成的基础操作符合要求：

• LDAP认证扩展jar包版本与Guacamole核心版本完全一致，需确认为guacamole-auth-ldap-1.3.0.jar
• /etc/guacamole/extensions目录权限正常，Tomcat运行用户拥有目录及jar包的读取权限
• 基础环境的guacd、Tomcat服务此前运行无异常

详细集成配置步骤 #

1. 编辑Guacamole核心配置文件 #

编辑/etc/guacamole/guacamole.properties（文件不存在则手动创建），添加以下LDAP相关配置，根据你实际的LDAP服务信息修改参数值：

# LDAP服务端地址
ldap-hostname: 你的LDAP服务器IP/域名
# LDAP服务端口，非加密用389，SSL加密用636
ldap-port: 389
# 加密方式，可选值：none(不加密)/ssl(SSL加密)/starttls(STARTTLS加密)
ldap-encryption-method: none
# 用于搜索LDAP用户的绑定账号DN
ldap-search-bind-dn: cn=admin,dc=example,dc=com
# 绑定账号对应的密码
ldap-search-bind-password: 绑定账号的密码
# LDAP用户的根Base DN，所有允许登录的用户需在该DN范围内
ldap-user-base-dn: ou=users,dc=example,dc=com
# LDAP用户的用户名字段，OpenLDAP默认用uid，AD域环境默认用sAMAccountName
ldap-username-attribute: uid
# 可选：用户过滤规则，仅允许符合规则的用户登录，示例为仅允许属于guacamole用户组的用户登录
# ldap-user-search-filter: (memberOf=cn=guacamole,ou=groups,dc=example,dc=com)
# 可选：LDAP中存储Guacamole配置的根DN，如需将权限配置存储在LDAP中需配置
# ldap-config-base-dn: ou=guacamole,dc=example,dc=com
# 认证扩展加载顺序，配置后可同时支持LDAP认证和本地数据库认证，顺序决定认证优先级
extension-order: ldap,jdbc

注意：如果不需要保留本地数据库账号登录能力，可删除extension-order配置项

2. 配置目录权限 #

执行命令保证Tomcat用户可读取所有配置文件：

chown -R tomcat:tomcat /etc/guacamole
chmod -R 750 /etc/guacamole

注意：CentOS部分版本Tomcat服务运行用户可能为tomcat9等对应版本命名，可通过ps aux | grep tomcat确认实际运行用户

3. 重启服务生效配置 #

依次重启guacd和Tomcat服务：

systemctl restart guacd
systemctl restart tomcat

注意：Tomcat服务名可能为tomcat9、tomcat8等对应版本命名，根据实际安装版本调整

配置校验方法 #

• 检查Tomcat启动日志是否存在LDAP相关报错，日志默认路径为/var/log/tomcat/catalina.out（或对应版本的Tomcat日志目录），搜索关键词LDAP即可排查连接、绑定类错误
• 使用ldapsearch工具验证LDAP连接及用户查询能力，执行以下命令替换参数后运行，能正常返回用户信息则说明LDAP连接参数无误：

  ldapsearch -x -H ldap://你的LDAP地址:389 -D "ldap-search-bind-dn对应的DN" -w "绑定账号密码" -b "ldap-user-base-dn对应的DN" "(uid=测试用户名)"
  

• 访问Guacamole登录页面，确认页面可正常加载，无500类服务端错误

LDAP账号登录操作指引 #

1. 确认待登录的LDAP用户属于ldap-user-base-dn的范围，且符合配置的ldap-user-search-filter过滤规则
2. 登录时用户名填写ldap-username-attribute配置的属性对应的值，例如配置为uid就填用户的uid值，AD环境配置为sAMAccountName就填域账号名
3. 密码填写LDAP服务中该用户对应的密码，点击登录即可
4. 首次登录成功后，可使用本地管理员账号登录后给LDAP用户分配对应的远程桌面/SSH等连接权限（权限默认存储在本地数据库）

常见排障点 #

• 提示用户名密码错误：优先检查ldap-username-attribute配置是否匹配LDAP服务的用户属性，AD环境不要使用默认的uid
• LDAP连接超时：检查CentOS服务器防火墙是否开放到LDAP服务389/636端口的出站规则，确认LDAP服务未做IP访问限制
• 本地账号无法登录：确认已配置extension-order参数，将jdbc扩展加入加载顺序

内容的提问来源于stack exchange，提问作者Sakthi