无管理控制台UI的Chef Server LDAP用户配置成功经验咨询

当然可以！没有Web管理控制台的情况下，完全能通过命令行工具和Chef Server的配置文件完成LDAP用户的配置，不用依赖UI操作。下面是具体的步骤：

1. 配置Chef Server的LDAP核心参数 #

Chef Server的LDAP设置全部存储在/etc/opscode/chef-server.rb这个主配置文件里，直接编辑它就能开启并配置LDAP：

打开配置文件，添加以下LDAP相关配置（根据你的LDAP服务器实际信息修改）：

# 开启LDAP认证
ldap['enabled'] = true
# LDAP服务器地址
ldap['host'] = 'your-ldap-server.example.com'
# LDAP端口（普通LDAP用389，LDAPS用636）
ldap['port'] = 389
# LDAP绑定账号（具备用户查询权限的账号）
ldap['bind_dn'] = 'cn=admin,dc=example,dc=com'
# 绑定账号密码
ldap['bind_password'] = 'your-bind-password'
# 用户搜索的基准DN
ldap['base_dn'] = 'ou=users,dc=example,dc=com'
# 过滤用户的LDAP对象类
ldap['user_filter'] = '(objectClass=inetOrgPerson)'
# 用于登录的LDAP属性（比如uid或mail）
ldap['login_attribute'] = 'uid'
# 是否启用SSL（LDAPS时设为true）
ldap['ssl_enabled'] = false

保存配置后，重新配置并重启Chef Server使设置生效：

chef-server-ctl reconfigure
chef-server-ctl restart

2. 关联LDAP用户到Chef Server #

配置好LDAP后，用户第一次用LDAP凭证登录时，Chef Server会自动创建对应的Chef用户。如果需要提前预创建用户（或者批量导入），可以用以下两种方式：

方式一：用knife命令创建关联用户 #

确保你的knife已经配置了Chef Server管理员权限，然后执行：

knife user create jdoe --email jdoe@example.com --external-auth-uid jdoe --password 'dummy-pass' --disable-editing

重点：--external-auth-uid是关联LDAP用户的核心参数，它的值要和你在ldap['login_attribute']中设置的LDAP属性值一致（比如上面例子中的jdoe就是LDAP用户的uid）。这里的--password只是必填占位符，实际登录会用LDAP凭证，不会用到这个密码。

方式二：通过Chef Server API创建 #

如果你需要批量操作，用API更方便（需要管理员的API密钥）：

curl -X POST -H "Content-Type: application/json" -d '{
  "user": {
    "username": "jdoe",
    "email": "jdoe@example.com",
    "external_authentication_uid": "jdoe",
    "password": "dummy-pass"
  }
}' https://your-chef-server.example.com/users -u admin:your-admin-api-key

3. 验证LDAP配置是否正常 #

可以通过两种方式验证：

• 尝试用LDAP用户凭证登录knife：

  knife ssl fetch
  knife configure --server-url https://your-chef-server.example.com
  # 输入LDAP用户名和密码，若能成功生成knife配置文件则说明生效
  

• 用Chef Server自带的测试命令检查LDAP连接：

  chef-server-ctl test-ldap
  

内容的提问来源于stack exchange，提问作者Raptor Dzuricsko