使用ldapscripts时遇错误：Debian Stretch下OpenLDAP配置求助

我之前在Debian Stretch上部署OpenLDAP后也碰到过ldapscripts报无效凭据的坑，折腾了好一阵才解决。结合你的情况，给你梳理几个最可能的排查方向，一步步来应该能搞定：

1. 先盯紧ldapscripts.passwd的权限和格式 #

ldapscripts对密码文件的权限要求特别严格，必须是只有root用户能读，否则直接拒绝使用：

• 先检查权限：ls -l /etc/ldapscripts/ldapscripts.passwd
• 如果权限不对，立刻修正：chmod 600 /etc/ldapscripts/ldapscripts.passwd && chown root:root /etc/ldapscripts/ldapscripts.passwd
  另外，密码文件里只能纯存密码字符串，不能有任何隐藏字符（比如换行、空格）。你可以用cat -A /etc/ldapscripts/ldapscripts.passwd查看有没有多余的符号，如果有，用echo -n "你的管理员密码" > /etc/ldapscripts/ldapscripts.passwd重新生成干净的密码文件。

2. 核对ldapscripts.conf里的绑定DN是否完全正确 #

这是最容易踩的坑：绑定DN必须和你OpenLDAP初始化时设置的管理员DN完全一致，不能有任何拼写错误。比如你的管理员DN是cn=admin,dc=example,dc=com，那在/etc/ldapscripts/ldapscripts.conf里必须写全：

LDAP_BINDDN="cn=admin,dc=example,dc=com"

同时还要检查这几个配置项：

• LDAP_SERVER：确保指向你的OpenLDAP服务，比如ldap://localhost或者服务器实际IP
• LDAP_BASEDN：要和你的LDAP域匹配，比如dc=example,dc=com

3. 用ldapsearch手动测试绑定，排除凭据本身的问题 #

先抛开ldapscripts，直接用原生的ldapsearch工具测试绑定，确认你的管理员DN和密码是有效的：

ldapsearch -x -D "cn=admin,dc=example,dc=com" -W -b "dc=example,dc=com"

执行后输入密码，如果能返回LDAP的条目列表，说明凭据没问题；如果还是报invalid credentials，那问题出在OpenLDAP的管理员账号本身，比如初始化时输错了密码？可以尝试重置管理员密码：

ldappasswd -x -D "cn=admin,dc=example,dc=com" -W -s "新的管理员密码" "cn=admin,dc=example,dc=com"

4. 检查nslcd/nscd的配置是否冲突 #

有时候nslcd服务的LDAP绑定配置会和ldapscripts冲突，比如nslcd用了不同的DN或者密码，导致连接异常。你可以先暂时停止这两个服务，再测试ldapscripts：

systemctl stop nslcd nscd
ldapscripts-listusers

如果这时候ldapscripts能正常运行，那就要调整/etc/nslcd.conf里的绑定配置，确保和ldapscripts用的凭据一致，或者如果你的LDAP允许匿名绑定，可以把nslcd改成匿名模式。

5. 查看OpenLDAP的日志找更详细的错误信息 #

除了/var/log/ldapscripts.log，OpenLDAP的系统日志（通常在/var/log/syslog或者/var/log/ldap/slapd.log）会记录更具体的错误原因，比如是不是绑定DN不存在、密码哈希格式不兼容等。你可以用这条命令过滤相关日志：

grep -i "invalid credentials" /var/log/syslog

根据日志里的细节，能更快定位到问题根源。

内容的提问来源于stack exchange，提问作者Dave