关于LDAP用户密码禁用及等效Unix usermod操作的技术问询

嗨，这个问题问到点子上了！当你从LDAP本地密码认证切换到Kerberos KDC后，想要禁用LDAP里的用户密码，确实有和Unix中usermod -p '!' user等效的操作——核心就是修改LDAP用户条目中的密码属性，让它变成一个无法被认证系统认可的无效值。

下面分场景给你具体方案：

通用思路（适用于多数标准LDAP服务器如OpenLDAP） #

LDAP中用户的密码通常存储在userPassword属性里，我们只需要把这个属性的值改成特殊标记，让LDAP认证模块判定为无效密码即可，逻辑和Unix里用!锁住密码完全一致。

具体操作步骤 #

1. 先创建一个LDIF格式的修改文件（比如命名为lock-ldap-user.ldif），内容示例如下：

   dn: uid=your-user,ou=users,dc=your-domain,dc=com
   changetype: modify
   replace: userPassword
   userPassword: !
   

   记得把dn里的uid=your-user和域名部分替换成你实际的用户条目路径。

2. 用ldapmodify命令执行修改：

   ldapmodify -x -D cn=admin,dc=your-domain,dc=com -W -f lock-ldap-user.ldif
   

   命令里的-D参数是LDAP管理员的DN，-W会提示你输入管理员密码，执行后目标用户的LDAP密码就会被锁住，无法通过LDAP密码登录。

备选方案（针对部分严格的LDAP服务器） #

有些LDAP服务器可能不允许直接将userPassword设为!，这时候可以用加密格式的无效标记：

dn: uid=your-user,ou=users,dc=your-domain,dc=com
changetype: modify
replace: userPassword
userPassword: {CRYPT}!

{CRYPT}!是符合LDAP密码格式规范的无效值，绝大多数LDAP认证系统都会识别为“无有效密码”，效果和Unix的usermod -p '!'完全一致。

另外，如果你的LDAP服务器支持，还可以用{NONE}作为值，明确表示该用户没有LDAP密码：

userPassword: {NONE}

针对Active Directory的特殊情况 #

如果你的内部LDAP是Active Directory，操作会略有不同：AD的用户密码属性是unicodePwd，且对格式要求严格。更推荐的方式是修改userAccountControl属性，添加ACCOUNTDISABLE（十六进制值0x0002）来禁用密码登录；如果只想保留账户可用性但禁用LDAP密码，也可以将unicodePwd设置为一个无法使用的复杂值（不过AD的密码策略可能会限制这种操作）。

额外注意事项 #

• 确认你的集群已经完全切换到Kerberos认证，LDAP客户端（比如PAM模块）不再依赖userPassword属性进行认证，避免锁密码后影响正常登录。
• 如果只是想彻底移除LDAP密码，也可以直接删除userPassword属性，但有些环境可能要求该属性必须存在，所以设置无效值是更稳妥的选择。

备注：内容来源于stack exchange，提问作者jamie