如何在CentOS配置LDAP服务器实现Windows客户端认证与家目录共享？是否可行？

这个方案完全可行，我之前帮不少运维朋友搭建过类似的跨平台身份认证环境，下面给你一步步拆解实现细节：

LDAP本身就是跨平台的身份认证协议，Windows原生支持LDAP域认证；而Linux端可以通过Samba共享目录，让Windows客户端把LDAP用户的家目录映射成本地盘符，完美实现“认证+家目录存储”的需求。整个流程的核心是：CentOS部署OpenLDAP提供身份源，用Samba共享家目录，Windows客户端加入LDAP域并映射共享目录。

1. 安装依赖包 #

yum install -y openldap-servers openldap-clients openldap-devel samba samba-client

（顺便把Samba也装上，后面要用到）

2. 初始化LDAP基础配置 #

• 复制LDAP数据库模板并修改权限：

cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG
chown ldap:ldap /var/lib/ldap/DB_CONFIG

• 生成管理员密码哈希，记住输出的字符串：

slappasswd

• 修改LDAP核心配置，设置管理员密码和域名（这里以example.com为例）：
  编辑/etc/openldap/slapd.d/cn=config/olcDatabase={2}hdb.ldif，替换以下内容：
  • olcSuffix: dc=example,dc=com
  • olcRootDN: cn=admin,dc=example,dc=com
  • olcRootPW: 刚才生成的密码哈希

3. 导入必要的Schema #

包括Samba所需的Schema，否则Samba无法识别LDAP用户属性：

ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/samba.ldif

4. 添加LDAP用户和组织单元 #

先创建用户组织单元（OU），新建ou-users.ldif文件：

dn: ou=users,dc=example,dc=com
objectClass: organizationalUnit
ou: users

执行导入：

ldapadd -x -D cn=admin,dc=example,dc=com -W -f ou-users.ldif

再添加测试用户（比如testuser），新建user-testuser.ldif：

dn: uid=testuser,ou=users,dc=example,dc=com
objectClass: inetOrgPerson
objectClass: posixAccount
objectClass: shadowAccount
objectClass: sambaSamAccount
uid: testuser
cn: Test User
sn: User
userPassword: {SSHA}这里填slappasswd生成的密码哈希
uidNumber: 10001
gidNumber: 10001
homeDirectory: /home/ldapusers/testuser
loginShell: /bin/bash
sambaSID: S-1-5-21-123456789-1234567890-1234567890-1001
sambaPrimaryGroupSID: S-1-5-21-123456789-1234567890-1234567890-513
sambaAcctFlags: [U]

导入用户：

ldapadd -x -D cn=admin,dc=example,dc=com -W -f user-testuser.ldif

最后创建家目录并设置权限：

mkdir -p /home/ldapusers/testuser
chown 10001:10001 /home/ldapusers/testuser

1. 修改Samba配置文件/etc/samba/smb.conf #

找到全局配置段，修改为：

[global]
    workgroup = WORKGROUP
    security = user
    passdb backend = ldapsam:ldap://localhost
    ldap suffix = dc=example,dc=com
    ldap user suffix = ou=users
    ldap admin dn = cn=admin,dc=example,dc=com
    ldap passwd sync = yes
    idmap config * : backend = tdb

然后添加家目录共享段：

[ldaphomes]
    comment = LDAP User Home Directories
    path = /home/ldapusers/%u
    valid users = %S
    browseable = no
    writable = yes
    create mask = 0644
    directory mask = 0755

2. 启动并验证服务 #

systemctl start slapd smb nmb
systemctl enable slapd smb nmb
# 开放防火墙端口
firewall-cmd --add-service=ldap --add-service=samba --permanent
firewall-cmd --reload

1. 加入LDAP域 #

• 打开「控制面板」→「系统和安全」→「系统」→「计算机名、域和工作组设置」→「更改设置」
• 点击「更改」，选择「域」，输入LDAP域名example.com，点击确定
• 输入LDAP管理员账号（cn=admin,dc=example,dc=com）和密码，完成加入，重启电脑

2. 映射家目录 #

• 重启后用LDAP用户（比如testuser）登录Windows
• 右键「此电脑」→「映射网络驱动器」，输入共享路径\\CentOS服务器IP\ldaphomes，勾选「登录时重新连接」，点击完成
• 也可以通过组策略批量配置：打开「组策略编辑器」→「用户配置」→「Windows设置」→「文件夹重定向」，把「文档」等文件夹重定向到\\CentOS服务器IP\ldaphomes\%username%

3. 验证功能 #

• 用LDAP用户登录Windows，确认能正常认证
• 在映射的网络驱动器中创建文件，回到CentOS的/home/ldapusers/testuser目录，确认文件同步存在

• 密码同步：确保LDAP用户的userPassword和Samba属性的密码一致，建议用ldappasswd修改LDAP密码，Samba会自动同步
• 权限问题：Linux端/home/ldapusers目录权限设为755，用户子目录权限归对应UID/GID所有
• 网络稳定性：确保Windows和CentOS在同一网络，防火墙开放LDAP（389）、Samba（139/445）端口
• 数据备份：定期用slapcat -l ldap-backup.ldif备份LDAP数据，备份Samba配置文件/etc/samba/smb.conf

内容的提问来源于stack exchange，提问作者Parthy Mj