TFS2018跨服务器LDAP用户认证及LDAP用户导入AD方法咨询

一、TFS2018能否使用独立服务器上的LDAP进行身份认证？ #

这个得分两种场景来看：

• 如果你的LDAP服务本身就是Active Directory（AD）（毕竟AD是LDAP协议的典型实现），那完全没问题！你不需要在TFS服务器本地装AD，直接在TFS管理控制台里把身份验证源配置为那台远程AD服务器就行，TFS原生支持AD身份认证，只要两台服务器网络连通、权限足够就能正常使用。
• 如果是非AD的LDAP服务（比如OpenLDAP这类第三方LDAP），TFS2018原生并不支持直接对接。这种情况下你有两个选择：要么找适配TFS的第三方身份验证插件（不少商业工具支持LDAP扩展），要么自己基于TFS的身份提供程序接口开发自定义认证模块。

二、若仅在TFS服务器上安装AD，如何将LDAP中的用户导入AD用于TFS认证？ #

假设你已经在TFS服务器上部署好了AD域服务（成为域控制器），接下来可以通过以下几种方式把外部LDAP的用户导入本地AD：

1. 手动导入（适合少量用户） #

打开AD的「用户和计算机」管理工具，在目标OU下手动创建用户账号，逐一对应LDAP里的用户信息（比如用户名、邮箱、姓名等）。这种方式简单直接，但用户数量多的话效率很低。

2. 批量导入工具（适合大量用户） #

方式一：使用ldifde命令行工具

这是Windows自带的LDAP数据交换工具，步骤如下：

• 先从外部LDAP导出用户数据为LDIF格式：

  ldifde -f users_export.ldf -s <你的LDAP服务器地址> -d "dc=example,dc=com" -r "(objectClass=user)" -l "cn,sn,givenName,mail,sAMAccountName"
  

  解释：-f指定导出文件，-s是LDAP服务器地址，-d是LDAP根目录DN，-r是过滤条件（只导出用户对象），-l指定要导出的属性。
• 修改导出的LDIF文件，调整属性适配本地AD的格式（比如把dn字段改成本地AD的OU路径，补充AD需要的属性）。
• 将修改后的LDIF文件导入本地AD：

  ldifde -i -f users_import.ldf -s <本地AD服务器名称>
  

方式二：PowerShell脚本批量导入

用PowerShell编写脚本，直接从外部LDAP读取用户信息，然后创建本地AD用户，示例脚本如下：

# 配置外部LDAP连接参数
$ldapServer = "ldap://ldap.example.com:389"
$ldapBindUser = "cn=admin,dc=example,dc=com"
$ldapBindPass = "your_ldap_password"
$ldapSearchBase = "dc=example,dc=com"

# 配置本地AD参数
$adOUPath = "OU=TFSUsers,DC=yourdomain,DC=local"
$tempPassword = ConvertTo-SecureString "Temp@Pass123" -AsPlainText -Force

# 连接外部LDAP并查询用户
$ldapEntry = New-Object System.DirectoryServices.DirectoryEntry($ldapServer, $ldapBindUser, $ldapBindPass)
$searcher = New-Object System.DirectoryServices.DirectorySearcher($ldapEntry)
$searcher.Filter = "(objectClass=user)"
$searcher.SearchScope = "Subtree"
$searcher.PropertiesToLoad.AddRange(@("sAMAccountName", "givenName", "sn", "mail", "displayName"))

# 遍历用户并导入到AD
foreach ($result in $searcher.FindAll()) {
    $userProps = $result.Properties
    $samAccountName = $userProps["samaccountname"][0]
    $givenName = $userProps["givenname"][0]
    $sn = $userProps["sn"][0]
    $displayName = $userProps["displayname"][0] ?? "$givenName $sn"
    $mail = $userProps["mail"][0]

    # 创建AD用户
    try {
        New-ADUser -Name $displayName `
                   -SamAccountName $samAccountName `
                   -GivenName $givenName `
                   -Surname $sn `
                   -EmailAddress $mail `
                   -AccountPassword $tempPassword `
                   -Enabled $true `
                   -Path $adOUPath `
                   -ChangePasswordAtLogon $true
        Write-Host "成功导入用户: $samAccountName"
    }
    catch {
        Write-Host "导入用户 $samAccountName 失败: $_"
    }
}

注意：运行脚本前要确保已安装ActiveDirectory模块，并且有本地AD的管理员权限。

方式三：使用ADMT工具（适用于从其他AD域迁移）

如果你的外部LDAP其实是另一台AD服务器，微软的**Active Directory迁移工具（ADMT）**是最佳选择。它不仅能批量迁移用户、组，还能保留用户的权限、SID历史等信息，迁移后用户可以无缝访问TFS。

3. 导入后TFS配置步骤 #

用户导入AD后，还需要做两步：

• 在TFS管理控制台中确认身份验证已配置为本地AD（默认就是AD，若之前改了需要改回来）。
• 在TFS的web界面或管理控制台中，将这些AD用户添加到对应的TFS组（比如项目管理员、开发者组），分配相应的权限，用户就能用AD账号登录TFS完成身份认证了。

内容的提问来源于stack exchange，提问作者Ramakrishnan