OpenLDAP问题：添加olcObjectClasses到schema失败排查求助

我处理过很多类似的OpenLDAP schema加载问题——看起来没报错但实际不生效，大多是因为cn=config对格式的严格要求或者隐藏的冲突。针对你的情况，按以下步骤排查：

1. 先确认LDIF的格式是否完全符合olcSchemaConfig规范 #

OpenLDAP的配置库（cn=config）对schema LDIF的格式要求比传统slapd.conf严格得多，你得确保：

• 你的schema条目DN格式正确：dn: cn={X}wso2,cn=schema,cn=config，其中{X}是未被占用的数字序号（可以用ldapsearch -x -b cn=schema,cn=config dn查看已有的序号，比如{0}是core，{1}是cosine这类）
• 必须包含objectClass: olcSchemaConfig属性
• olcObjectClasses的语法不能有任何错误，比如：

  olcObjectClasses: ( 1.3.6.1.4.1.37553.1.1.1 NAME 'wso2Person' SUP inetOrgPerson STRUCTURAL MUST ( uid $ mail ) MAY ( wso2IdentityId $ wso2TenantId ) )
  

  注意括号前后的空格、OID的正确性、关键字（NAME/SUP/STRUCTURAL/MUST/MAY）的拼写，哪怕多一个换行或空格都可能被忽略。

2. 开启debug日志，查看加载时的细节 #

“加载无报错”不代表所有属性都被接受了，OpenLDAP可能悄悄忽略了不合法的内容。你可以：

• 修改cn=config的日志级别，执行：

  ldapmodify -x -D cn=admin,cn=config -W <<EOF
  dn: cn=config
  changetype: modify
  replace: olcLogLevel
  olcLogLevel: stats config
  EOF
  

• 重新加载你的LDIF：

  ldapadd -x -D cn=admin,cn=config -W -f your-wso2-schema.ldif
  

• 查看OpenLDAP的日志文件（通常在/var/log/slapd/或/var/log/openldap/目录下），搜索olcObjectClasses相关的警告或错误——比如OID重复、格式错误都会在这里体现。

3. 检查schema条目是否真的被正确写入 #

有时候LDIF加载返回成功，但条目根本没出现在cn=schema里。用这个命令查询你的schema条目：

ldapsearch -x -b cn=schema,cn=config cn={X}wso2

如果返回空，说明条目没被添加，可能是DN里的序号冲突，或者权限不足；如果返回条目但没有olcObjectClasses字段，说明这个属性被OpenLDAP拒绝了。

4. 排查OID或类名冲突 #

OpenLDAP不允许重复的OID或objectClass名称。你可以用这两个命令检查是否和现有schema冲突：

# 检查类名是否重复
ldapsearch -x -b cn=schema,cn=config "(olcObjectClasses=*NAME 'wso2Person'*)"
# 检查OID是否重复
ldapsearch -x -b cn=schema,cn=config "(olcObjectClasses=*1.3.6.1.4.1.37553.1.1.1*)"

如果有冲突，修改WSO2 schema里的OID或类名即可。

5. 用slaptest验证LDIF的正确性 #

OpenLDAP自带的slaptest工具可以帮你提前发现格式问题：

slaptest -f your-wso2-schema.ldif -v

它会详细检查LDIF的语法、属性格式等，任何小错误都会被揪出来。

6. 手动添加olcObjectClasses属性 #

如果前面的步骤都没问题，你可以尝试手动把olcObjectClasses加到已有的schema条目里：

ldapmodify -x -D cn=admin,cn=config -W <<EOF
dn: cn={X}wso2,cn=schema,cn=config
changetype: modify
add: olcObjectClasses
olcObjectClasses: ( 1.3.6.1.4.1.37553.1.1.1 NAME 'wso2Person' SUP inetOrgPerson STRUCTURAL MUST ( uid $ mail ) MAY ( wso2IdentityId $ wso2TenantId ) )
EOF

记得把{X}换成你的schema序号，确保属性内容和你原来的LDIF一致。

总结 #

最常见的问题就是LDIF格式不符合olcSchemaConfig的要求，或者存在OID/类名冲突。通过日志排查、格式验证，基本都能解决。如果还是不行，可以把你的LDIF内容（脱敏后）贴出来，我再帮你看具体问题。

内容的提问来源于stack exchange，提问作者Vild