OpenLDAP用户登录尝试次数查询及隐藏属性文档咨询

嘿，我来帮你理清这个问题！

先明确说：OpenLDAP 默认并没有像微软 AD 里 badPwdCount 那样直接记录登录失败次数的属性。要实现这个追踪功能，你得先启用它的 pwdPolicy（密码策略）模块——这是 OpenLDAP 用来管控密码规则、登录失败行为的核心组件。

启用 pwdPolicy 后可用的相关属性 #

当你配置并启用了密码策略模块后，用户条目会自动关联以下和登录失败相关的属性：

• pwdFailureTime：这个属性会存储每次登录失败的时间戳，每失败一次就新增一个时间戳值。统计这个属性里的条目数量，就是当前用户的登录失败次数。
• pwdAccountLockedTime：如果登录失败次数达到你设置的密码策略阈值，这个属性会记录账户被锁定的时间，也能辅助判断用户的登录失败情况。

查询这些属性的命令示例 #

你可以用 ldapsearch 工具直接查询指定用户的这些属性：

# 替换成你的管理员DN、用户DN和域名
ldapsearch -x -D "cn=admin,dc=yourdomain,dc=com" -W -b "uid=targetuser,ou=users,dc=yourdomain,dc=com" pwdFailureTime pwdAccountLockedTime

执行后，你会看到类似这样的输出（如果有失败记录的话）：

pwdFailureTime: 20240520123456Z
pwdFailureTime: 20240520123510Z

这里的两个时间戳就代表该用户有2次登录失败记录。

关于“无法通过'*'获取的隐藏属性” #

OpenLDAP 其实没有真正意义上的“隐藏属性”——所有属性都定义在对应的 schema（模式）文件里。如果用 * 通配符查不到某个属性，通常有两种原因：

1. 对应的 schema 没有被加载到服务器中；
2. 该属性依赖的模块（比如上面的 pwdPolicy）没有启用，所以不会被添加到用户条目里。

要查看当前服务器已加载的所有 schema 及属性定义，可以用这个命令：

ldapsearch -x -b "cn=schema,cn=config"

它会列出所有生效的 schema 细节，你可以从中找到你需要的属性信息。

补充：启用 pwdPolicy 模块的前提 #

如果你的 OpenLDAP 还没配置密码策略模块，需要先完成这一步：

• 动态配置（推荐）：通过 ldapmodify 命令向 cn=module{0},cn=config 添加 ppolicy 模块的加载配置；
• 静态配置：修改 slapd.conf 文件，添加 moduleload ppolicy.la 一行，然后重启 slapd 服务。
  之后还需要创建密码策略条目，并将其应用到用户或组织单元上，才能让 pwdFailureTime 等属性生效。

内容的提问来源于stack exchange，提问作者user9640558