如何按层级顺序提取LDAP条目？ldapsearch迁移子树序错致失败

嘿，你遇到的这个情况其实挺典型的——你的操作本身没有错误，但ldapsearch确实不是为LDAP迁移量身打造的工具，它默认返回条目的顺序并不保证严格遵循LDAP的层级结构（父条目在前、子条目在后），这就导致你用ldapmodify -a批量导入时，子条目对应的父容器还没创建，直接触发报错。

下面给你几个可行的解决方案，以及针对工具选择的建议：

1. 调整ldapsearch的输出顺序，让父条目优先出现 #

虽然ldapsearch默认不按层级排序，但我们可以通过参数或本地排序来修正：

方法1：利用源服务器的排序扩展（推荐） #

Novell eDirectory通常支持LDAP排序扩展，你可以用-S参数指定按DN的层级排序：

ldapsearch -x -H ldap://source-edir-server -b "o=company" -S dn -LLL > export.ldif

这里的-S dn会让服务器按DN从顶层到底层的顺序返回条目，确保父容器先被导出。

方法2：本地排序处理（如果源服务器不支持排序） #

如果源服务器无法提供排序后的结果，你可以在本地用sort命令处理导出的LDIF文件，按DN的层级深度排序（逗号越少，层级越高）：

# 导出原始LDIF
ldapsearch -x -H ldap://source-edir-server -b "o=company" -LLL > raw_export.ldif
# 按DN层级排序，父条目在前
awk 'BEGIN{FS=","} {print NF, $0}' raw_export.ldif | sort -n | cut -d' ' -f2- > sorted_export.ldif

2. 换用专门的LDAP迁移工具（更省心） #

既然ldapsearch只是查询工具，不如直接用专门的迁移工具，它们会自动处理层级顺序、依赖关系等问题：

ldapcopy #

这是一款专门用于LDAP服务器间条目复制的工具，会自动确保父条目先被创建：

ldapcopy -s ldap://source-edir-server -b "o=company" -d ldap://new-openldap-server -D "cn=admin,dc=your-domain,dc=com" -w your-admin-password

OpenLDAP自带的slapadd（需临时停机） #

如果新OpenLDAP实例可以短时间停机，你可以用slapadd直接导入排序后的LDIF（注意要先停止slapd服务）：

systemctl stop slapd
slapadd -b "o=company" -f sorted_export.ldif
systemctl start slapd

3. 手动调整LDIF顺序（应急方案） #

如果上述工具都无法使用，你可以手动整理LDIF文件：先把所有顶级条目（比如o=company）放在最前面，然后是下一级容器（比如ou=org,o=company），最后是子条目（比如cn=man,ou=org,o=company）。只要保证父条目出现在子条目之前，ldapmodify -a就能正常执行。

总结 #

你选择ldapsearch导出的思路没问题，但它的局限性导致了顺序问题。通过排序输出或换用专门的迁移工具，完全可以在不修改源eDirectory配置、不停机冷备份的前提下完成迁移。

内容的提问来源于stack exchange，提问作者watery