Crowd LDAP集成AD遇认证错误：Base DN及登录方式咨询

咱们逐个拆解你遇到的问题：

1. Base DN的定义是什么？ #

Base DN（Base Distinguished Name）是LDAP目录服务里的搜索起始节点，相当于你在AD目录树里划定的「搜索根范围」。比如你配置的OU=Users, DC=xyz, DC=local，意思就是Crowd会从xyz.local域下的Users组织单元开始，查找相关的用户对象：

• OU=Users：指定用户所在的组织单元（Organizational Unit）
• DC=xyz、DC=local：是域组件（Domain Component），组合起来就是你的AD域名xyz.local

2. 从远程服务器登录是否应使用UPN（完全限定用户名）？ #

是的，非常推荐你改用UPN格式登录，这大概率能解决你遇到的52e认证错误（这个错误的核心就是用户名/密码不匹配或认证格式不被AD接受）。
你当前用的xyz\parkbasead是NTLM格式的用户名，在远程连接AD的场景下，UPN（比如parkbasead@xyz.local）的兼容性更好：

• UPN是AD里全局唯一的用户标识，不会因为域环境架构变化出现解析问题
• 远程连接时，AD对UPN的认证流程更稳定，不容易出现跨域或路由导致的解析失败
  建议你把Crowd里的用户账户改成UPN格式后再测试登录。

3. Base DN中的DC=local是否需替换为有意义的域控制器名称？ #

完全不需要。Base DN里的DC=local是AD域名的DNS后缀部分，用来标识域的层级结构，和域控制器的名称没有关系。
域控制器的名称是类似dc01.xyz.local这种具体的服务器主机名，而Base DN里的DC=xyz, DC=local对应的是整个域xyz.local，所以保持现有配置即可，替换反而会导致Crowd无法正确定位AD的目录结构。

内容的提问来源于stack exchange，提问作者John