OpenLDAP中ppolicy覆盖层配置无效及用户属性查看方法咨询

嗨，我来帮你梳理并解决这两个问题：

一、ppolicy覆盖层与posixAccounts的映射问题 #

首先要明确：你的ppolicy配置已经挂载在整个{2}hdb数据库上作为全局覆盖层了，只要用户条目包含userPassword属性（不管是posixAccount还是inetOrgPerson类型），默认密码策略就会自动生效。不过你可以做以下几点验证和优化：

• 确认模块加载状态：通过以下命令检查ppolicy.so是否成功加载：

  ldapsearch -x -D cn=admin,cn=config -W -b cn=module,cn=config
  

  正常输出里应该能看到olcModuleLoad: ppolicy.so这一行。
• 规范属性名：你的示例用户里写的是userpassword: ChangeMe，LDAP属性名大小写不敏感，但建议使用标准的userPassword格式，避免潜在的兼容性问题。
• 自定义用户策略（可选）：如果想给某个posixAccount用户单独配置特殊密码策略，只需在用户条目里添加pwdPolicySubentry属性，指向对应的策略DN即可，比如：

  pwdPolicySubentry: cn=special-policy,ou=Policies,dc=example,dc=org
  

二、查看用户属性的方法 #

最常用的工具是ldapsearch命令，针对你的示例用户，这里给几个实用的查询方式：

1. 查询用户所有属性 #

ldapsearch -x -D cn=admin,dc=example,dc=org -W -b cn=foo bar,ou=users,dc=example,dc=org

参数说明：

• -x：使用简单认证模式（而非SASL）
• -D：指定绑定的管理员DN（替换成你的实际管理员账号）
• -W：提示输入密码（避免明文写在命令行造成泄露）
• -b：指定要查询的用户条目DN

2. 查询特定属性 #

如果只关心密码或策略相关属性，可以指定属性列表缩小查询范围：

ldapsearch -x -D cn=admin,dc=example,dc=org -W -b cn=foo bar,ou=users,dc=example,dc=org userPassword pwdPolicySubentry

3. 查询密码策略动态属性 #

想要查看用户的密码策略状态（比如失败登录次数、账号锁定时间这类动态生成的属性），需要加上+参数来返回操作属性：

ldapsearch -x -D cn=admin,dc=example,dc=org -W -b cn=foo bar,ou=users,dc=example,dc=org +

这样就能看到pwdFailureCount、pwdAccountLockedTime等ppolicy模块生成的动态状态属性了。

备注：内容来源于stack exchange，提问作者Peedy2495