1 部署环境OpenEuler-24.03-LTS-SP1离线环境以系统光盘作为本地软件源。2 准备ldap认证环境2.1 安装软件dnf install openldap-clients sssd2.2 测试ldap服务从ldap服务器下载ldap.crt证书添加本地信任并测试远程连接。openssl s_client -connect IP:636 -showcerts /dev/null 2/dev/null | openssl x509 -out /etc/pki/ca-trust/source/anchors/ldap.crt #或者使用scp直接将ldap.crt拷贝到本地 scp USERNAMEIP:/etc/openldap/certs/ldap.crt /etc/pki/ca-trust/source/anchors/ #添加自签名证书到信任库 update-ca-trust #验证证书有效性返回Verify return code: 0 (ok)则为正常否则进一步排查证书配置 openssl s_client -connect IP:636 -CAfile /etc/pki/ca-trust/source/anchors/ldap.crt #验证ldap服务器连接是否正常注意ldap.dong.net要与证书中的域名一致 ldapsearch -H ldaps://ldap.dong.net:636 -x -b dcdong,dcnet -D cnManager,dcdong,dcnet -W #如果有问题可以使用以下命令查看错误原因 ldapsearch -d 5 -x -H ldaps://ldap.dong.net:636 -b -s base输入密码回显ldap用户信息为正常若无法访问则排查ldap故障。2.3 系统集成ldap认证cp /etc/pki/ca-trust/source/anchors/ldap.crt /etc/ssl/certs/ vi /etc/sssd/sssd.conf修改以下配置domains LDAP#[domain/LDAP]id_provider ldapauth_provider ldapldap_schema rfc2307ldap_uri ldaps://ldap.dong.net:636ldap_search_base dcdong,dcnet#ldap_id_use_start_tls Trueldap_tls_reqcert demandldap_tls_cacertdir /etc/ssl/certsldap_tls_cacert /etc/ssl/certs/ldap.crt重启服务并添加开机自启systemctl restart sssd systemctl status sssd systemctl enable sssd验证ldap认证结果getent passwd LDAP_USERNAME #也可以使用id命令 id LDAP_USERNAME应返回ldap用户名、uid、gid、家目录等内容如报错需逐项排查配置问题。3 安装samba软件dnf install samba samba-client vi /etc/samba/smb.conf修改以下配置[global]workgroup WORKGROUPnetbios DONGsecurity userpassdb backend ldapsam:ldap://dong.netldap ssl start tls#ldap suffix dcdong,dcnetldap user suffix ouPeopleldap group suffix ougroupldap machine suffix oumachineldap admin dn cnManager,dcdong,dcnetldap passwd sync yes#idmap config * : backend tdbidmap config * : range 10000-29999idmap config DONG : backend tdbidmap config DONG : range 30000-49999#log file /var/log/samba/log.%mmax log size 5000#include /etc/samba/usershares.conf# 其他配置均为默认共享资源在usershares.conf文件中进行配置。设置ldap管理员Manager密码输入ldap管理员密码并确认测试读取ldap用户信息smbpasswd -W pdbedit -L如正常显示ldap用户信息则配置成功。4 samba共享配置touch /etc/samba/usershares.conf vi /etc/samba/usershares.conf添加如下内容[file]comment 文件共享path /data/filebrowseable noguest ok novalid users USER_NAME,GROUP_NAMEwriteable yeswritelist USER_NAME,GROUP_NAMEcreate mask 0640directory mask 0750force user USER_NAMEforce group GROUP_NAMEadmin users USER_NAME简要说明如下[共享名]omment 任意字符串对该共享的描述可以是任意字符串path 共享目录路径声明共享目录的路径browseable yes/no指定该共享是否可以浏览writable yes/no指定该共享路径是否可写write list 允许写入该共享的用户available yes/no指定该共享资源是否可用admin users 该共享的管理者对该共享具有完全控制权限valid users 允许访问该共享的用户多个用户或者组中间用逗号隔开组表示为“组名”nvalid users 禁止访问该共享的用户public yes/no (同guest ok yes/no用来声明是否允许guest账户访问)检查配置文件并测试共享资源testparm systemctl restart smb systemctl restart nmb systemctl enable smb systemctl enable nmb smbclient -L IP -U USER_NAME输入密码后正常情况下会显示共享资源。以上配置已可以实现基本功能可使用man samba、man smb.conf等命令自行了解更多配置内容。