CentOS 8下httpd无法通过LDAP认证：无结果返回问题求助

我帮你梳理下这个问题，首先看你贴的httpd配置，有个非常显眼的拼写错误——这大概率就是导致认证失败的核心原因：

你在AuthLDAPURL里写的用户属性是SAMAaccountName，但AD里对应的正确属性是sAMAccountName（注意大小写：小写s，大写AM，后面跟着AccountName）。这个拼写错误会让httpd无法正确把用户输入的用户名和AD里的属性做匹配，直接触发「用户未找到」的错误。

第一步：先修正属性拼写错误 #

把AuthLDAPURL里的属性部分改成正确的sAMAccountName，同时建议把过滤条件从(objectClass=*)缩小到(objectClass=user)，减少不必要的查询范围，修改后的配置如下：

<Directory "/home/test">
    AuthType Basic
    AuthName "login to continue"
    AuthBasicProvider ldap
    LDAPReferrals Off
    AuthLDAPBindAuthoritative off
    AuthLDAPURL "ldap://company-dc-02.company.local:389/OU=Users,OU=COMPANY,DC=Company,DC=local?sAMAccountName?sub?(objectClass=user)"
    AuthLDAPBindDN "CN=test,OU=Users,OU=COMPANY,DC=Company,DC=local"
    AuthLDAPBindPassword password
    require valid-user
</Directory>

第二步：规范绑定DN的格式 #

虽然你用ldapsearch -D test能成功绑定，但httpd的mod_ldap模块对绑定DN的格式要求可能更严格。建议换成完整的用户DN（比如上面配置里的CN=test,OU=Users,OU=COMPANY,DC=Company,DC=local）或者UPN格式（test@company.local），避免AD名称解析规则的差异导致绑定异常。

第三步：模拟httpd的查询逻辑验证权限 #

你已经用apache用户执行过ldapsearch，但可以再精准模拟httpd的查询逻辑试试：

su - apache -s /bin/bash
ldapsearch -x -LLL -h company-dc-02.company.local -D "CN=test,OU=Users,OU=COMPANY,DC=Company,DC=local" -w password -b "OU=Users,OU=COMPANY,DC=Company,DC=local" -s sub "(sAMAccountName=test)"

如果这个命令能返回正确的用户条目，说明权限和查询逻辑没问题；如果不行，就得检查AD里的绑定用户是否允许从httpd服务器发起LDAP查询。

第四步：开启调试日志看细节 #

如果修正后还是有问题，建议开启httpd的LDAP调试日志，能看到更详细的交互过程：

1. 在httpd的主配置或者虚拟主机配置里添加：

LogLevel info mod_ldap:trace6 mod_authnz_ldap:trace6

2. 重启httpd，然后尝试登录，再去看错误日志（一般是/var/log/httpd/error_log），里面会显示LDAP查询的具体请求、返回结果，能帮你定位是否还有其他问题，比如过滤条件不匹配、DNS解析问题等。

其他可能的小问题 #

• 确认AD服务器的防火墙允许httpd服务器访问389端口（虽然ldapsearch能通，但还是确认下更稳妥）
• 检查httpd是否加载了mod_ldap和mod_authnz_ldap模块：执行httpd -M | grep ldap，如果没看到这两个模块，需要启用它们
• 试试把AuthLDAPURL里的服务器域名换成IP地址，排除DNS解析的问题

内容的提问来源于stack exchange，提问作者ksmith