如何使用Ansible修改LDAP服务器中现有用户的属性（如密码）

我来帮你搞定这个问题——你碰到的情况其实是ldap_entry模块的特性导致的：这个模块主要负责条目是否存在，默认不会主动对比并修改已存在条目的属性（尤其是像userPassword这种特殊属性）。下面给你两个靠谱的解决办法：

方案一：改用ldap_attr模块单独管理属性 #

ldap_attr模块就是专门用来维护LDAP条目的单个或多个属性的，非常适合修改现有用户的属性，比如密码。你可以调整Playbook，分成两步：先确保用户条目存在，再单独处理属性更新：

- name: 确保LDAP用户条目存在
  ldap_entry:
    dn: "uid={{ item.cn }},ou=users,dc=example,dc=com"  # 替换成你的实际DN路径
    attributes:
      uidNumber: "{{ item.uidNumber }}"
      gidNumber: "{{ item.gidNumber }}"
      sn: "{{ item.sn }}"
      cn: "{{ item.cn }}"
    bind_dn: "cn=admin,dc=example,dc=com"  # 替换成你的绑定DN
    bind_pw: "{{ ldap_admin_password }}"    # 替换成你的绑定密码
    state: present
  with_items: "{{ users }}"

- name: 更新LDAP用户密码属性
  ldap_attr:
    dn: "uid={{ item.cn }},ou=users,dc=example,dc=com"
    name: userPassword
    values: "{{ item.userPassword | password_hash('ssha') }}"  # 注意：LDAP通常要求存储哈希后的密码，这里用SSHA加密，可根据你的LDAP配置调整加密方式
    bind_dn: "cn=admin,dc=example,dc=com"
    bind_pw: "{{ ldap_admin_password }}"
    state: exact  # 确保属性值被精确替换，而不是追加
  with_items: "{{ users }}"

关键注意事项： #

• LDAP的userPassword属性不能直接存明文，绝大多数LDAP服务器要求存储哈希后的字符串（比如SSHA、MD5、SHA-256等），所以一定要用Ansible的password_hash过滤器生成符合要求的哈希值。
• state: exact参数会确保把属性值设置成你指定的内容，避免出现多值密码的情况（有些LDAP允许一个用户有多个密码值，但这通常不是你想要的）。

方案二：调整ldap_entry模块参数强制对比属性 #

如果你不想换模块，也可以通过修改ldap_entry的参数来实现更新，核心是开启密码强制更新的选项：

- name: user entries
  ldap_entry:
    dn: "uid={{ item.cn }},ou=users,dc=example,dc=com"
    attributes:
      uidNumber: "{{ item.uidNumber }}"
      gidNumber: "{{ item.gidNumber }}"
      sn: "{{ item.sn }}"
      cn: "{{ item.cn }}"
      userPassword: "{{ item.userPassword | password_hash('ssha') }}"  # 同样要哈希密码
    bind_dn: "cn=admin,dc=example,dc=com"
    bind_pw: "{{ ldap_admin_password }}"
    state: present
    update_password: always  # 强制每次运行都检查并更新密码属性
  with_items: "{{ users }}"

为什么之前没效果？ #

默认情况下update_password的值是on_create，也就是只有在创建新用户的时候才会设置密码，后续运行根本不会去检查密码有没有变化。改成always后，Ansible会每次对比属性值，如果哈希后的密码和LDAP中存储的不一致，就会自动更新。

额外小提示 #

• 一定要确认你的绑定用户（bind_dn）拥有修改用户属性的权限，不然就算配置对了也会报错。
• 测试的时候先拿单个用户试手，避免批量修改出问题。

内容的提问来源于stack exchange，提问作者user1980099