WSO2 Identity Server连接Microsoft AD报错：LDAP错误码49（52e）
2026-5-20
嘿，这个错误我之前帮不少人排查过，LDAP错误码49附带的data 52e其实是Active Directory给出的明确信号——用户名能被识别，但认证凭据无效，或者账号状态存在阻止认证的问题。咱们一步步来排查和解决：
错误核心含义拆解
先明确这个错误的细节：
[LDAP: error code 49 - 80090308: LdapErr: DSID-0C0903C5, comment: AcceptSecurityContext error, data 52e, v2580]
其中error code 49是LDAP标准的认证失败码，而AD附加的data 52e对应的具体含义是Invalid Credentials（无效凭据），这是最关键的排查方向。
排查与解决步骤
1. 先确认绑定账号的用户名和密码绝对正确
- 打开你的
user-mgt.xml，找到配置的ConnectionUsername和ConnectionPassword，仔细核对：AD密码是严格区分大小写的，用户名虽然默认不区分，但也要注意是否带了域名前缀（比如DOMAIN\user或者user@domain.com）。 - 用LDAP测试工具（比如Windows自带的LDP.exe，或者Apache Directory Studio）直接测试这个账号的连接：输入相同的AD服务器地址、端口、用户名和密码，看是否能成功绑定。如果工具都连不上，那肯定是凭据或账号的问题。
2. 检查AD账号的状态是否正常
- 是否被锁定：打开AD用户和计算机，找到该绑定账号，右键→属性→账户选项卡，确认“账户已锁定”没有被勾选。如果锁定了，点击“解锁账户”按钮。
- 密码是否过期：同样在账户选项卡，查看“密码永不过期”是否勾选；如果没勾选，检查密码的有效期是否已过，必要时重置密码。
- 是否被禁用：确认“账户已禁用”选项没有被勾选，要是禁用了就把它取消。
3. 核对LDAP连接配置的细节
- ConnectionURL是否正确：格式应该是
ldap://<AD服务器IP/域名>:389（普通连接）或者ldaps://<AD服务器IP/域名>:636（SSL连接）。如果用SSL，还要确保WSO2 IS的信任库已经导入了AD的根证书，否则会出现SSL握手失败，也可能伴随类似的认证错误。 - 绑定用户名格式是否正确：AD支持多种格式，比如：
- 短格式：
DOMAIN\username - UPN格式：
username@domain.com - 完整DN：
CN=John Doe,OU=Users,DC=yourdomain,DC=com
可以尝试换一种格式配置，有些AD环境对格式要求比较严格。
- 短格式：
4. 确认绑定账号的LDAP权限
虽然这个错误码主要是凭据问题，但也要确保绑定账号拥有足够的权限访问AD的用户数据：至少需要读取用户属性和搜索用户的权限，避免因为权限不足间接引发认证失败。
快速验证小技巧
如果重置密码后还是不行，可以尝试用AD的域管理员账号作为绑定账号测试，要是能成功连接，就说明之前的绑定账号要么权限不够，要么状态有问题。
内容的提问来源于stack exchange，提问作者star
相关产品推荐
相关产品推荐
