FreeIPA用户getent与id命令查询结果不一致及chown操作异常问题求助

看起来你碰到了一个挺棘手的UID/GID重叠问题，这种数值冲突在身份管理系统里确实容易搞出各种混乱的解析错误，咱们一步步来拆解排查和解决：

先明确当前的异常现象 #

你提到的几个核心问题点：

• id alice 返回 uid=1024(alice) gid=1026(bob) —— alice的主组GID1026被错误解析成了用户bob（因为bob的UID刚好是1026）
• chown bob:bob testfile 执行后，文件的GID变成了1026（对应alice的主组），而不是bob自己的GID1028
• getent group alice 返回 alice:*:1024: —— 错误地把alice的UID当成了组ID
• 唯一正常的是getent passwd alice，能正确返回alice的用户信息

问题根源分析 #

这种问题大概率是NSS（名称服务交换）的解析逻辑或SSSD（FreeIPA依赖的身份缓存服务）配置异常导致的：
当UID和GID数值重叠时，系统在解析ID时可能会混淆用户和组的查询逻辑——比如有些NSS模块会优先匹配到第一个数值相同的条目，把用户UID当成组GID返回，或者反过来。

具体排查与解决步骤 #

1. 检查NSS配置文件/etc/nsswitch.conf #

先确认系统查询身份信息的优先级，重点看passwd和group两行的配置：
正常的FreeIPA环境应该是这样的：

passwd:     files sss
group:      files sss

如果配置里有compat模块，或者sss的位置在files之后但本地文件有冲突条目，都会干扰解析。如果发现有异常配置，调整成上面的格式后保存。

2. 检查并修复SSSD配置 #

FreeIPA的身份解析依赖SSSD，打开/etc/sssd/sssd.conf，找到你的域名对应的[domain/xxx]段：

• 确保id_provider = ipa，并且正确配置了FreeIPA服务器地址
• 添加或确认以下参数，让SSSD严格区分用户UID和组GID的解析：

  ldap_user_uid_number = uidNumber
  ldap_group_gid_number = gidNumber
  

• 保存配置后，重启SSSD服务并清空缓存：

  systemctl restart sssd
  sss_cache -E
  

  之后再测试id alice、getent group 1026等命令，看解析是否恢复正常。

3. 排查本地身份文件冲突 #

检查本地/etc/passwd和/etc/group里有没有和FreeIPA冲突的条目：

grep 1026 /etc/passwd /etc/group

如果本地文件里有使用1026这个ID的用户或组，直接删除这些条目（因为FreeIPA的身份信息应该作为权威来源），避免本地条目干扰远程身份解析。

4. 查看SSSD日志定位细节 #

如果上面的步骤还没解决问题，可以查看SSSD的日志来定位具体的解析错误：
日志文件在/var/log/sssd/目录下，比如sssd_你的域名.log，搜索1026这个ID，看看系统在解析这个数值时是优先匹配了用户还是组，有没有报错信息。

临时应急方案 #

如果暂时没法彻底修复解析问题，你可以直接用ID数值来执行chown操作，避免名称解析错误：

chown 1026:1028 testfile

这样就能准确设置bob的UID和对应的GID了。

备注：内容来源于stack exchange，提问作者laolux