WebSphere登录故障：配置Domino LDAP后重启无法登录且无法回滚

遇到这种锁死的情况别慌，WebSphere留了离线修改配置的后门，不用急着重装。下面分两步走：先紧急恢复登录权限，再排查LDAP配置的问题。

一、紧急恢复登录权限（离线修改配置） #

方法1：用wsadmin离线脚本修改（最稳妥） #

这个方式不需要启动服务器，直接修改底层配置：

1. 找到WebSphere安装目录下的bin文件夹：
   • Linux：/opt/IBM/WebSphere/AppServer/bin（根据你的实际安装路径调整）
   • Windows：C:\Program Files\IBM\WebSphere\AppServer\bin
2. 打开终端/命令提示符，进入这个目录，启动离线模式的wsadmin：

   # Linux/Mac
   ./wsadmin.sh -conntype NONE
   
   # Windows
   wsadmin.bat -conntype NONE
   

3. 进入wsadmin交互界面后，执行命令切换回本地操作系统用户认证（这样服务器的操作系统管理员账号就能登录控制台了）：

   AdminTask.setAdminActiveSecuritySettings('-activeUserRegistryType LOCALOS')
   AdminConfig.save()
   

   如果想切换回WebSphere自带的文件注册表，把LOCALOS换成LOCAL即可。
4. 退出wsadmin，重启WebSphere服务器，这时候你就能用本地管理员账号登录控制台了。

方法2：直接修改配置文件（谨慎操作） #

如果wsadmin用不了，可以直接改安全配置文件，但必须先停止所有WebSphere服务：

1. 停止WebSphere的部署管理器、节点和所有应用服务器
2. 找到你的WebSphere Profile下的安全配置文件：
   <profile_root>/config/cells/<你的cell名称>/security.xml
3. 先备份这个文件（重要！防止改坏无法恢复），再用文本编辑器打开
4. 找到<userRegistry>节点，把type属性改成LOCALOS或者LOCAL，比如：

   <userRegistry xmi:id="UserRegistry_1" type="LOCALOS" ...>
   

5. 保存文件，重启服务器，就能用本地账号登录了。

二、排查Domino LDAP配置问题（恢复登录后） #

现在你能进入控制台了，得找出之前的配置漏洞，避免再踩坑：

• 检查Domino LDAP服务状态：确认Domino服务器上的LDAP服务已启动（在Domino控制台输入load ldap启动），默认端口是389（非SSL）或636（SSL），服务器防火墙要开放这些端口。
• 绑定用户配置：WebSphere里的LDAP绑定用户DN必须是Domino中存在的有效用户，格式通常是cn=绑定用户名,o=你的组织域名，密码要准确无误。
• 用户/组过滤器适配：Domino的LDAP对象类和标准LDAP有差异，建议用以下过滤器：
  • 用户过滤器：(&(objectClass=dominoPerson)(cn=%v))
  • 组过滤器：(&(objectClass=dominoGroup)(cn=%v))
• 基础DN正确性：要填写Domino目录的根DN，比如o=你的公司域名，不要填错层级结构。
• 先测试再保存：在WebSphere控制台配置完LDAP后，一定要点击「测试连接」，确认能连通Domino LDAP再保存配置，不要直接重启服务器。

额外提醒 #

以后修改WebSphere安全配置前，一定要用自带工具做配置备份：

# Linux/Mac
./backupConfig.sh /path/to/backup.zip -user 管理员账号 -password 密码

# Windows
backupConfig.bat C:\path\to\backup.zip -user 管理员账号 -password 密码

这样出问题时直接用restoreConfig.sh/restoreConfig.bat就能快速回滚，不用再折腾离线修改了。

内容的提问来源于stack exchange，提问作者Enio Souza